YARA · CAPE Sandbox (CAPEv2)

CAPE_Cobaltstrikestager

Cobalt Strike Stager Payload

HacktoolCAPE Sandbox (CAPEv2)GNU General Public License v3.0Kompiliert mit YARA-X

Autor: @dan__mayer <daniel@stairwell.com>
Datum: 2023-01-18
Score / Qualität: 75 / 70

Was diese Regel erkennt

Cobalt Strike Stager Payload

Sie definiert 4 Muster (0 Text, 4 Hex, 0 Regex).

Zusammenfassung aus den Metadaten und der Bedingung der Regel erzeugt.

Regelquelltext

.yar herunterladen

cobaltstrikestager.yarGNU General Public License v3.0

rule CAPE_Cobaltstrikestager
{
	meta:
		description = "Cobalt Strike Stager Payload"
		author = "@dan__mayer <daniel@stairwell.com>"
		id = "eedf71b1-9f27-5a6f-afe8-3ddae47f9a06"
		date = "2023-01-18"
		modified = "2023-01-18"
		reference = "https://github.com/kevoreilly/CAPEv2"
		source_url = "https://github.com/kevoreilly/CAPEv2/blob/6b15e76f28cd83fd1187da6c9aaaad2174255356/data/yara/CAPE/CobaltStrikeStager.yar#L1-L15"
		license_url = "https://github.com/kevoreilly/CAPEv2/blob/6b15e76f28cd83fd1187da6c9aaaad2174255356/LICENSE"
		logic_hash = "6a55b0c3ab5f557dfb7a3f8bd616ede1bd9b93198590fc9d52aa19c1154388c5"
		score = 75
		quality = 70
		tags = ""
		cape_type = "CobaltStrikeStager Payload"

	strings:
		$smb = { 68 00 B0 04 00 68 00 B0 04 00 6A 01 6A 06 6A 03 52 68 45 70 DF D4 }
		$http_x86 = { 68 6E 65 74 00 68 77 69 6E 69 54 68 4C 77 26 07 }
		$http_x64 = { 49 BE 77 69 6E 69 6E 65 74 00 41 56 49 89 E6 4C 89 F1 41 BA 4C 77 26 07 }
		$dns = { 68 00 10 00 00 68 FF FF 07 00 6A 00 68 58 A4 53 E5 }

	condition:
		any of them
}

Strings (4 Muster)

Bezeichner	Typ	Wert
$smb	Hex	{ 68 00 B0 04 00 68 00 B0 04 00 6A 01 6A 06 6A 03 52 68 45 70 DF D4 }
$http_x86	Hex	{ 68 6E 65 74 00 68 77 69 6E 69 54 68 4C 77 26 07 }
$http_x64	Hex	{ 49 BE 77 69 6E 69 6E 65 74 00 41 56 49 89 E6 4C 89 F1 41 BA 4C 77 26 07 }
$dns	Hex	{ 68 00 10 00 00 68 FF FF 07 00 6A 00 68 58 A4 53 E5 }

Bedingung

any of them

In Worten (Heuristik)

Mindestens ein Muster aus der Regel muss treffen.

Diese Regel im Browser testen

Legen Sie eine Datei ab, um sie mit dieser Regel und YARA-X als WebAssembly zu scannen. Nichts wird hochgeladen.

Datei hier ablegen oder klicken zum AuswählenLokal mit YARA-X gescannt. Dateien bis 200 MB.

Im Editor öffnen

Referenzen

https://github.com/kevoreilly/CAPEv2

Lizenz & Namensnennung

Autor: @dan__mayer <daniel@stairwell.com>

Quell-Repository: CAPE Sandbox (CAPEv2) @ 6b15e76f28

Lizenz: GNU General Public License v3.0 (Repository-Lizenz)

Originalregel

Gespiegelt über YARA Forge 20260927, das Regelnamen mit der Quelle präfixiert und normalisierte Meta-Felder ergänzt.

Regel-ID: eedf71b1-9f27-5a6f-afe8-3ddae47f9a06

Metadaten

cape_type	CobaltStrikeStager Payload