YARA · Cado Security (via Open-Source-YARA-rules)

CADOSECURITY_Lambda_Malware

Detects AWS Lambda Malware

MalwareCado Security (via Open-Source-YARA-rules)Apache License 2.0Kompiliert mit YARA-X

Autor: cdoman@cadosecurity.com
Datum: 2022-04-03
Geändert: 2022-07-06
Score / Qualität: 75 / 80

Was diese Regel erkennt

Detects AWS Lambda Malware

Sie definiert 3 Muster (3 Text, 0 Hex, 0 Regex).

Zusammenfassung aus den Metadaten und der Bedingung der Regel erzeugt.

Regelquelltext

.yar herunterladen

lambda-malware.yarApache License 2.0

rule CADOSECURITY_Lambda_Malware : FILE
{
	meta:
		description = "Detects AWS Lambda Malware"
		author = "cdoman@cadosecurity.com"
		id = "cd867d39-7ff8-599a-bd65-e0f5581ac3f6"
		date = "2022-04-03"
		modified = "2022-07-06"
		reference = "https://www.cadosecurity.com/cado-discovers-denonia-the-first-malware-specifically-targeting-lambda/"
		source_url = "https://github.com/mikesxrs/Open-Source-YARA-rules/blob/ec0056f767db98bf6d5fd63877ad51fb54d350e9/Cado Security/Lambda_Malware.yar#L1-L17"
		license_url = "N/A"
		hash = "739fe13697bc55870ceb35003c4ee01a335f9c1f6549acb6472c5c3078417eed"
		hash = "a31ae5b7968056d8d99b1b720a66a9a1aeee3637b97050d95d96ef3a265cbbca"
		logic_hash = "46567ceeb39a3b3379fc5ee876e1539b24e8192af8fe31b5df16fb2b3105f176"
		score = 75
		quality = 80
		tags = "FILE"
		license = "Apache License 2.0"

	strings:
		$a = "github.com/likexian/doh-go/provider/"
		$b = "Mozilla/5.0 (compatible; Ezooms/1.0; help@moz.com)"
		$c = "username:password pair for mining server"

	condition:
		filesize < 30000KB and all of them
}

Strings (3 Muster)

Bezeichner	Typ	Wert
$a	Text	"github.com/likexian/doh-go/provider/"
$b	Text	"Mozilla/5.0 (compatible; Ezooms/1.0; help@moz.com)"
$c	Text	"username:password pair for mining server"

Bedingung

filesize < 30000KB and all of them

In Worten (Heuristik)

Die Datei muss kleiner als 30000KB sein (eine günstige Grenze, die große Dateien ausschließt).
Alle Muster aus der Regel müssen treffen.

Diese Regel im Browser testen

Legen Sie eine Datei ab, um sie mit dieser Regel und YARA-X als WebAssembly zu scannen. Nichts wird hochgeladen.

Datei hier ablegen oder klicken zum AuswählenLokal mit YARA-X gescannt. Dateien bis 200 MB.

Im Editor öffnen

Referenzen

https://www.cadosecurity.com/cado-discovers-denonia-the-first-malware-specifically-targeting-lambda/

Proben-Hashes

Hashes der Proben, die der Autor in den Metadaten der Regel nennt (in Ihrer Threat-Intelligence-Plattform nachschlagen).

739fe13697bc55870ceb35003c4ee01a335f9c1f6549acb6472c5c3078417eed
a31ae5b7968056d8d99b1b720a66a9a1aeee3637b97050d95d96ef3a265cbbca

Lizenz & Namensnennung

Autor: cdoman@cadosecurity.com

Quell-Repository: Cado Security (via Open-Source-YARA-rules) @ ec0056f767

Lizenz: Apache License 2.0 (in den Metadaten der Regel angegeben)

“Apache License 2.0”

Originalregel

Gespiegelt über YARA Forge 20260927, das Regelnamen mit der Quelle präfixiert und normalisierte Meta-Felder ergänzt.

Regel-ID: cd867d39-7ff8-599a-bd65-e0f5581ac3f6

Tags:FILE