YARA · CAPE Sandbox (CAPEv2)
CAPE_Pikabot
Pikabot Payload
- Autor
- kevoreilly
- Datum
- 2023-02-13
- Geändert
- 2024-03-13
- Score / Qualität
- 75 / 70
Was diese Regel erkennt
Pikabot Payload
Zugehörige Malware-Familie: Pikabot.
Ziele: Windows-PE.
Sie definiert 3 Muster (0 Text, 3 Hex, 0 Regex).
Zusammenfassung aus den Metadaten und der Bedingung der Regel erzeugt.
Regelquelltext
pikabot.yarGNU General Public License v3.0
rule CAPE_Pikabot : FILE
{
meta:
= "Pikabot Payload"
= "kevoreilly"
= "140a3e20-9837-5f66-85dc-af278d75e074"
= "2023-02-13"
= "2024-03-13"
= "https://github.com/kevoreilly/CAPEv2"
= "https://github.com/kevoreilly/CAPEv2/blob/6b15e76f28cd83fd1187da6c9aaaad2174255356/data/yara/CAPE/PikaBot.yar#L15-L28"
= "https://github.com/kevoreilly/CAPEv2/blob/6b15e76f28cd83fd1187da6c9aaaad2174255356/LICENSE"
= "ed07217c373831a9a67d914854154988696e6fcea70dedabf333385f0e7bb8b7"
= 75
= 70
= "FILE"
= "PikaBot Payload"
= "89dc50024836f9ad406504a3b7445d284e97ec5dafdd8f2741f496cac84ccda9"
strings:
$decode = {29 D1 01 4B ?? 8D 0C 10 89 4B ?? 85 F6 74 02 89 16}
$indirect = {31 C0 64 8B 0D C0 00 00 00 85 C9 74 01 40 50 8D 54 24 ?? E8 [4] A3 [4] 8B 25 [4] A1}
$config = {C7 44 24 [3] 00 00 C7 44 24 [4] 00 89 [1-4] ?? E8 [4] 31 C0 C7 44 24 [3] 00 00 89 44 24 ?? C7 04 24 [4] E8}
condition:
uint16( 0 ) == 0x5A4D and 2 of them
}
Strings (3 Muster)
| Bezeichner | Typ | Wert | Modifikatoren |
|---|---|---|---|
| $decode | Hex | {29 D1 01 4B ?? 8D 0C 10 89 4B ?? 85 F6 74 02 89 16} | |
| $indirect | Hex | {31 C0 64 8B 0D C0 00 00 00 85 C9 74 01 40 50 8D 54 24 ?? E8 [4] A3 [4] 8B 25 [4] A1} | |
| $config | Hex | {C7 44 24 [3] 00 00 C7 44 24 [4] 00 89 [1-4] ?? E8 [4] 31 C0 C7 44 24 [3] 00 00 89 44 24 ?? C7 04 24 [4] E8} |
Bedingung
uint16( 0 ) == 0x5A4D and 2 of themIn Worten (Heuristik)
- Die Datei muss mit „MZ“ beginnen — eine Windows-Programmdatei (PE).
- Mindestens 2 Muster aus der Regel müssen treffen.
Diese Regel im Browser testen
Legen Sie eine Datei ab, um sie mit dieser Regel und YARA-X als WebAssembly zu scannen. Nichts wird hochgeladen.
Datei hier ablegen oder klicken zum AuswählenLokal mit YARA-X gescannt. Dateien bis 200 MB.
Referenzen
Lizenz & Namensnennung
Autor: kevoreilly
Quell-Repository: CAPE Sandbox (CAPEv2) @ 6b15e76f28
Lizenz: GNU General Public License v3.0 (Repository-Lizenz)
Copyright-Hinweis: Cuckoo Sandbox is copyrighted by the Cuckoo Foundation.
Gespiegelt über YARA Forge 20260927, das Regelnamen mit der Quelle präfixiert und normalisierte Meta-Felder ergänzt.
Regel-ID: 140a3e20-9837-5f66-85dc-af278d75e074
Metadaten
| cape_type | PikaBot Payload |
|---|---|
| packed | 89dc50024836f9ad406504a3b7445d284e97ec5dafdd8f2741f496cac84ccda9 |
Tags:FILE
Verwandte Regeln
- MalwareCAPE Sandbox (CAPEv2)· kevoreilly· 2024-03-07
- MalwareCAPE Sandbox (CAPEv2)· kevoreilly· 2024-03-07
- MalwareCAPE Sandbox (CAPEv2)· kevoreilly· 2023-02-13
- MalwareCAPE Sandbox (CAPEv2)· kevoreilly· 2023-02-13
- MalwareMalpedia signator rules· Felix Bilstein - yara-signator at cocacoding dot com· 2026-05-04
- MalwareEmbee Research· Matthew @ Embee_Research· 2023-10-03
- RUSSIANPANDA_Pikabot_1Nur MetadatenMalwareRussianPanda· RussianPanda· 2024-01-02
- MalwareCAPE Sandbox (CAPEv2)· kevoreilly· 2026-07-31