YARA · CAPE Sandbox (CAPEv2)
CAPE_Icedsleep
IcedID sleep bypass
- Autor
- kevoreilly
- Datum
- 2021-03-30
- Geändert
- 2023-11-28
- Score / Qualität
- 75 / 70
Was diese Regel erkennt
IcedID sleep bypass
Zugehörige Malware-Familie: Icedid.
Ziele: Windows-PE.
Sie definiert 1 Muster (0 Text, 1 Hex, 0 Regex).
Zusammenfassung aus den Metadaten und der Bedingung der Regel erzeugt.
Regelquelltext
icedsleep.yarGNU General Public License v3.0
rule CAPE_Icedsleep : FILE
{
meta:
= "IcedID sleep bypass"
= "kevoreilly"
= "d6bd708b-47bc-5620-b40e-8fe5f1a67ba4"
= "2021-03-30"
= "2023-11-28"
= "https://github.com/kevoreilly/CAPEv2"
= "https://github.com/kevoreilly/CAPEv2/blob/6b15e76f28cd83fd1187da6c9aaaad2174255356/analyzer/windows/data/yara/IcedID.yar#L88-L99"
= "https://github.com/kevoreilly/CAPEv2/blob/6b15e76f28cd83fd1187da6c9aaaad2174255356/LICENSE"
= "0b1a8be95b1b8a3b066837f9e47561ee8202d741b39d64e626c0461c2fbf7c70"
= 75
= 70
= "FILE"
= "force-sleepskip=1"
= "e99f3517a36a9f7a55335699cfb4d84d08b042d47146119156f7f3bab580b4d7"
strings:
$sleep = {89 4C 24 08 48 83 EC 38 8B 44 24 40 48 69 C0 10 27 00 00 48 F7 D8 48 89 44 24 20 48 8D 54 24 20 33 C9 FF 15 [4] 48 83 C4 38 C3}
condition:
uint16( 0 ) == 0x5A4D and all of them
}
Strings (1 Muster)
| Bezeichner | Typ | Wert | Modifikatoren |
|---|---|---|---|
| $sleep | Hex | {89 4C 24 08 48 83 EC 38 8B 44 24 40 48 69 C0 10 27 00 00 48 F7 D8 48 89 44 24 20 48 8D 54 24 20 33 C9 FF 15 [4] 48 83 C4 38 C3} |
Bedingung
uint16( 0 ) == 0x5A4D and all of themIn Worten (Heuristik)
- Die Datei muss mit „MZ“ beginnen — eine Windows-Programmdatei (PE).
- Alle Muster aus der Regel müssen treffen.
Diese Regel im Browser testen
Legen Sie eine Datei ab, um sie mit dieser Regel und YARA-X als WebAssembly zu scannen. Nichts wird hochgeladen.
Datei hier ablegen oder klicken zum AuswählenLokal mit YARA-X gescannt. Dateien bis 200 MB.
Referenzen
Lizenz & Namensnennung
Autor: kevoreilly
Quell-Repository: CAPE Sandbox (CAPEv2) @ 6b15e76f28
Lizenz: GNU General Public License v3.0 (Repository-Lizenz)
Copyright-Hinweis: Cuckoo Sandbox is copyrighted by the Cuckoo Foundation.
Gespiegelt über YARA Forge 20260927, das Regelnamen mit der Quelle präfixiert und normalisierte Meta-Felder ergänzt.
Regel-ID: d6bd708b-47bc-5620-b40e-8fe5f1a67ba4
Metadaten
| cape_options | force-sleepskip=1 |
|---|---|
| packed | e99f3517a36a9f7a55335699cfb4d84d08b042d47146119156f7f3bab580b4d7 |
Tags:FILE
Verwandte Regeln
- MalwareCAPE Sandbox (CAPEv2)· kevoreilly· 2021-03-30
- MalwareCAPE Sandbox (CAPEv2)· kevoreilly· 2021-03-30
- MalwareCAPE Sandbox (CAPEv2)· kevoreilly· 2021-03-30
- MalwareCAPE Sandbox (CAPEv2)· kevoreilly· 2021-03-30
- MalwareCAPE Sandbox (CAPEv2)· kevoreilly· 2021-03-30
- Verdächtig / HuntingCAPE Sandbox (CAPEv2)· kevoreilly· 2021-03-30
- MalwareSignature Base (Florian Roth / Nextron)· Thomas Barabosch, Telekom Security· 2021-04-12
- MalwareMalpedia signator rules· Felix Bilstein - yara-signator at cocacoding dot com· 2026-05-04