YARA · CAPE Sandbox (CAPEv2)

CAPE_Monsterv2

MonsterV2 Payload

GenerischCAPE Sandbox (CAPEv2)GNU General Public License v3.0Kompiliert mit YARA-X

Autor: doomedraven,YungBinary
Datum: 2025-09-06
Geändert: 2025-09-12
Score / Qualität: 75 / 70

Was diese Regel erkennt

MonsterV2 Payload

Ziele: Windows-PE.

Sie definiert 1 Muster (0 Text, 1 Hex, 0 Regex).

Zusammenfassung aus den Metadaten und der Bedingung der Regel erzeugt.

Regelquelltext

.yar herunterladen

monsterv2.yarGNU General Public License v3.0

rule CAPE_Monsterv2 : FILE
{
	meta:
		description = "MonsterV2 Payload"
		author = "doomedraven,YungBinary"
		id = "4bc3546f-34ad-579e-9822-272a2b3c74e2"
		date = "2025-09-06"
		modified = "2025-09-12"
		reference = "https://github.com/kevoreilly/CAPEv2"
		source_url = "https://github.com/kevoreilly/CAPEv2/blob/6b15e76f28cd83fd1187da6c9aaaad2174255356/data/yara/CAPE/MonsterV2.yar#L1-L21"
		license_url = "https://github.com/kevoreilly/CAPEv2/blob/6b15e76f28cd83fd1187da6c9aaaad2174255356/LICENSE"
		logic_hash = "d4e65f860e69b2eee8a818a4146d91b84ce6da30c8fa27593587932e4f0847a8"
		score = 75
		quality = 70
		tags = "FILE"
		cape_type = "MonsterV2 Payload"
		packed = "fe69e8db634319815270aa0e55fe4b9c62ce8e62484609c3a42904fbe5bb2ab3"

	strings:
		$decrypt_config = {
            41 B8 0E 04 00 00
            48 8D 15 ?? ?? ?? 00
            48 8B C?
            E8 ?? ?? ?? ?? [3-17]
            4C 8B C?
            48 8D 54 24 28
            48 8B CE
            E8 ?? ?? ?? ??
        }

	condition:
		uint16( 0 ) == 0x5A4D and $decrypt_config
}

Strings (1 Muster)

Bezeichner	Typ	Wert	Modifikatoren
$decrypt_config	Hex	{ 41 B8 0E 04 00 00 48 8D 15 ?? ?? ?? 00 48 8B C? E8 ?? ?? ?? ?? [3-17] 4C 8B C? 48 8D 5 …

Bedingung

uint16( 0 ) == 0x5A4D and $decrypt_config

In Worten (Heuristik)

Die Datei muss mit „MZ“ beginnen — eine Windows-Programmdatei (PE).
Muster $decrypt_config muss vorhanden sein.

Diese Regel im Browser testen

Legen Sie eine Datei ab, um sie mit dieser Regel und YARA-X als WebAssembly zu scannen. Nichts wird hochgeladen.

Datei hier ablegen oder klicken zum AuswählenLokal mit YARA-X gescannt. Dateien bis 200 MB.

Im Editor öffnen

Referenzen

https://github.com/kevoreilly/CAPEv2

Lizenz & Namensnennung

Autor: doomedraven,YungBinary

Quell-Repository: CAPE Sandbox (CAPEv2) @ 6b15e76f28

Lizenz: GNU General Public License v3.0 (Repository-Lizenz)

Originalregel

Gespiegelt über YARA Forge 20260927, das Regelnamen mit der Quelle präfixiert und normalisierte Meta-Felder ergänzt.

Regel-ID: 4bc3546f-34ad-579e-9822-272a2b3c74e2

Metadaten

cape_type	MonsterV2 Payload
packed	fe69e8db634319815270aa0e55fe4b9c62ce8e62484609c3a42904fbe5bb2ab3

Tags:FILE