YARA · CAPE Sandbox (CAPEv2)

CAPE_Rhadunhook

No description has been set in the source file - CAPE

GenerischCAPE Sandbox (CAPEv2)GNU General Public License v3.0Kompiliert mit YARA-X

Autor: Kevin O'Reilly
Datum: 2023-01-25
Geändert: 2025-11-11
Score / Qualität: 75 / 70

Was diese Regel erkennt

No description has been set in the source file - CAPE

Sie definiert 2 Muster (0 Text, 2 Hex, 0 Regex).

Zusammenfassung aus den Metadaten und der Bedingung der Regel erzeugt.

Regelquelltext

.yar herunterladen

rhadunhook.yarGNU General Public License v3.0

rule CAPE_Rhadunhook
{
	meta:
		description = "No description has been set in the source file - CAPE"
		author = "Kevin O'Reilly"
		id = "7bbeeb3a-9437-50d8-89e6-306a07886a17"
		date = "2023-01-25"
		modified = "2025-11-11"
		reference = "https://github.com/kevoreilly/CAPEv2"
		source_url = "https://github.com/kevoreilly/CAPEv2/blob/6b15e76f28cd83fd1187da6c9aaaad2174255356/analyzer/windows/data/yara/Rhadamanthys.yar#L26-L36"
		license_url = "https://github.com/kevoreilly/CAPEv2/blob/6b15e76f28cd83fd1187da6c9aaaad2174255356/LICENSE"
		logic_hash = "f2da2f1ee6b0a3b9fe58b2c35ccf0a0f6dee44228ec92659370d30defdef7ea3"
		score = 75
		quality = 70
		tags = ""
		cape_options = "bp0=$scan*,action0=scan:rbx,count=0,patch=$target+21:9090"
		packed = "dd4af0f1888977f6d9eb820b19f4afc2a73d1c494a132ab4261498328005dda7"

	strings:
		$scan = {48 85 DB 0F 84 E1 00 00 00 4C 8D 44 24 70 48 8D 54 24 40 48 8B CE 44 89 7C 24 50 4C 89 64 24 40 48 C7 44 24 48 00 00 00 00 C6 44 24 54 00 FF}
		$target = {4D 85 C9 48 8B C6 4A 8D 0C 1E 74 15 48 2B D8 49 2B DB 8A 04 0B 88 01 48 83 C1 01 49 83 E9 01 75 F1 5F 5E 5D 5B C3}

	condition:
		any of them
}

Strings (2 Muster)

Bezeichner	Typ	Wert	Modifikatoren
$scan	Hex	{48 85 DB 0F 84 E1 00 00 00 4C 8D 44 24 70 48 8D 54 24 40 48 8B CE 44 89 7C 24 50 4C 89 64 24 40 48 C7 44 24 48 00 00 00 00 C6 44 24 54 00 FF}
$target	Hex	{4D 85 C9 48 8B C6 4A 8D 0C 1E 74 15 48 2B D8 49 2B DB 8A 04 0B 88 01 48 83 C1 01 49 83 E9 01 75 F1 5F 5E 5D 5B C3}

Bedingung

any of them

In Worten (Heuristik)

Mindestens ein Muster aus der Regel muss treffen.

Diese Regel im Browser testen

Legen Sie eine Datei ab, um sie mit dieser Regel und YARA-X als WebAssembly zu scannen. Nichts wird hochgeladen.

Datei hier ablegen oder klicken zum AuswählenLokal mit YARA-X gescannt. Dateien bis 200 MB.

Im Editor öffnen

Referenzen

https://github.com/kevoreilly/CAPEv2

Lizenz & Namensnennung

Autor: Kevin O'Reilly

Quell-Repository: CAPE Sandbox (CAPEv2) @ 6b15e76f28

Lizenz: GNU General Public License v3.0 (Repository-Lizenz)

Originalregel

Gespiegelt über YARA Forge 20260927, das Regelnamen mit der Quelle präfixiert und normalisierte Meta-Felder ergänzt.

Regel-ID: 7bbeeb3a-9437-50d8-89e6-306a07886a17

Metadaten

cape_options	bp0=$scan*,action0=scan:rbx,count=0,patch=$target+21:9090
packed	dd4af0f1888977f6d9eb820b19f4afc2a73d1c494a132ab4261498328005dda7

CAPE_Rozena
GenerischCAPE Sandbox (CAPEv2)· Kevin O'Reilly· 2024-03-13