YARA · CAPE Sandbox (CAPEv2)
CAPE_Icedidpackera
IcedID export selection
- Autor
- kevoreilly
- Datum
- 2021-03-30
- Geändert
- 2023-11-28
- Score / Qualität
- 75 / 70
Was diese Regel erkennt
IcedID export selection
Zugehörige Malware-Familie: Icedid.
Ziele: Windows-PE.
Sie definiert 3 Muster (1 Text, 2 Hex, 0 Regex).
Zusammenfassung aus den Metadaten und der Bedingung der Regel erzeugt.
Regelquelltext
rule CAPE_Icedidpackera : FILE
{
meta:
= "IcedID export selection"
= "kevoreilly"
= "d793d8a1-0e17-56ad-933c-470e2290867b"
= "2021-03-30"
= "2023-11-28"
= "https://github.com/kevoreilly/CAPEv2"
= "https://github.com/kevoreilly/CAPEv2/blob/6b15e76f28cd83fd1187da6c9aaaad2174255356/analyzer/windows/data/yara/IcedID.yar#L27-L40"
= "https://github.com/kevoreilly/CAPEv2/blob/6b15e76f28cd83fd1187da6c9aaaad2174255356/LICENSE"
= "fbad60002286599ca06d0ecb3624740efbf13ee5fda545341b3e0bf4d5348cfe"
= "aa0681e7794546355e6d61f739c49035a493cdfca7e666531d74e3835ec44408"
= 75
= 70
= "FILE"
= "export=$export"
strings:
$init = "init"
$export = {48 89 5C 24 08 48 89 6C 24 10 48 89 74 24 18 57 48 81 EC [2] 00 00 41 8B E9 49 8B F0 48 8B FA 48 8B D9}
$alloc = {8B 50 50 33 C9 44 8D 49 40 41 B8 00 30 00 00 FF 15 [4] 48 89 44 24 28 [0-3] 48 89 84 24 ?? 00 00 00 E9}
condition:
uint16( 0 ) == 0x5A4D and all of them
}
Strings (3 Muster)
| Bezeichner | Typ | Wert | Modifikatoren |
|---|---|---|---|
| $init | Text | "init" | |
| $export | Hex | {48 89 5C 24 08 48 89 6C 24 10 48 89 74 24 18 57 48 81 EC [2] 00 00 41 8B E9 49 8B F0 48 8B FA 48 8B D9} | |
| $alloc | Hex | {8B 50 50 33 C9 44 8D 49 40 41 B8 00 30 00 00 FF 15 [4] 48 89 44 24 28 [0-3] 48 89 84 24 ?? 00 00 00 E9} |
Bedingung
uint16( 0 ) == 0x5A4D and all of themIn Worten (Heuristik)
- Die Datei muss mit „MZ“ beginnen — eine Windows-Programmdatei (PE).
- Alle Muster aus der Regel müssen treffen.
Diese Regel im Browser testen
Legen Sie eine Datei ab, um sie mit dieser Regel und YARA-X als WebAssembly zu scannen. Nichts wird hochgeladen.
Referenzen
Proben-Hashes
Hashes der Proben, die der Autor in den Metadaten der Regel nennt (in Ihrer Threat-Intelligence-Plattform nachschlagen).
- fbad60002286599ca06d0ecb3624740efbf13ee5fda545341b3e0bf4d5348cfe
Lizenz & Namensnennung
Autor: kevoreilly
Quell-Repository: CAPE Sandbox (CAPEv2) @ 6b15e76f28
Lizenz: GNU General Public License v3.0 (Repository-Lizenz)
Copyright-Hinweis: Cuckoo Sandbox is copyrighted by the Cuckoo Foundation.
Gespiegelt über YARA Forge 20260927, das Regelnamen mit der Quelle präfixiert und normalisierte Meta-Felder ergänzt.
Regel-ID: d793d8a1-0e17-56ad-933c-470e2290867b
Metadaten
| cape_options | export=$export |
|---|
Tags:FILE
Verwandte Regeln
- MalwareCAPE Sandbox (CAPEv2)· kevoreilly· 2021-03-30
- MalwareCAPE Sandbox (CAPEv2)· kevoreilly· 2021-03-30
- MalwareCAPE Sandbox (CAPEv2)· kevoreilly· 2021-03-30
- MalwareCAPE Sandbox (CAPEv2)· kevoreilly· 2021-03-30
- MalwareCAPE Sandbox (CAPEv2)· kevoreilly· 2021-03-30
- Verdächtig / HuntingCAPE Sandbox (CAPEv2)· kevoreilly· 2021-03-30
- MalwareSignature Base (Florian Roth / Nextron)· Thomas Barabosch, Telekom Security· 2021-04-12
- MalwareMalpedia signator rules· Felix Bilstein - yara-signator at cocacoding dot com· 2026-05-04