Zum Inhalt springen
yararules.org
Menü

YARA · Cod3nym detection-rules

COD3NYM_SUSP_Direct_Syscall_Shellcode_Invocation_Jan24

Detects direct syscall evasion technqiue using NtProtectVirtualMemory to invoke shellcode

Verdächtig / HuntingCod3nym detection-rulesDetection Rule License 1.1Kompiliert mit YARA-X
Autor
Jonathan Peters
Datum
2024-01-14
Score / Qualität
65 / 80

Was diese Regel erkennt

Detects direct syscall evasion technqiue using NtProtectVirtualMemory to invoke shellcode

Sie definiert 1 Muster (0 Text, 1 Hex, 0 Regex).

Zusammenfassung aus den Metadaten und der Bedingung der Regel erzeugt.

Regelquelltext

.yar herunterladen
susp-direct-syscall-shellcode-invocation-jan24.yarDetection Rule License 1.1
rule COD3NYM_SUSP_Direct_Syscall_Shellcode_Invocation_Jan24 : FILE
{
	meta:
		description = "Detects direct syscall evasion technqiue using NtProtectVirtualMemory to invoke shellcode"
		author = "Jonathan Peters"
		id = "2a0ce887-299d-5aad-bed3-3e698b4dea79"
		date = "2024-01-14"
		modified = "2024-01-14"
		reference = "https://unprotect.it/technique/evasion-using-direct-syscalls/"
		source_url = "https://github.com/cod3nym/detection-rules//blob/86a04c4594cb48895192aad4af164f21f568c136/yara/other/susp_direct_syscall_shellcode_invocation.yar#L1-L14"
		license_url = "https://github.com/cod3nym/detection-rules//blob/86a04c4594cb48895192aad4af164f21f568c136/LICENSE.md"
		hash = "f7cd214e7460c539d6f8d02b6650098e3983862ff658b76ea02c33f5a45fc836"
		logic_hash = "b5b0ad86289a4e2af7cdc909192f4dc9325c1763259f40adcc1e60c088c9e4f3"
		score = 65
		quality = 80
		tags = "FILE"

	strings:
		$ = { B8 40 00 00 00 67 4C 8D 08 49 89 CA 48 C7 C0 50 00 00 00 0F 05 [4-8] 4C 8D 3D 02 00 00 00 FF E0 }

	condition:
		all of them and filesize < 2MB
}

Strings (1 Muster)

BezeichnerTypWertModifikatoren
$Hex{ B8 40 00 00 00 67 4C 8D 08 49 89 CA 48 C7 C0 50 00 00 00 0F 05 [4-8] 4C 8D 3D 02 00 00 00 FF E0 }

Bedingung

all of them and filesize < 2MB

In Worten (Heuristik)

  • Die Datei muss kleiner als 2MB sein (eine günstige Grenze, die große Dateien ausschließt).
  • Alle Muster aus der Regel müssen treffen.

Diese Regel im Browser testen

Legen Sie eine Datei ab, um sie mit dieser Regel und YARA-X als WebAssembly zu scannen. Nichts wird hochgeladen.

Datei hier ablegen oder klicken zum AuswählenLokal mit YARA-X gescannt. Dateien bis 200 MB.

Im Editor öffnen

Referenzen

Proben-Hashes

Hashes der Proben, die der Autor in den Metadaten der Regel nennt (in Ihrer Threat-Intelligence-Plattform nachschlagen).

  • f7cd214e7460c539d6f8d02b6650098e3983862ff658b76ea02c33f5a45fc836

Lizenz & Namensnennung

Autor: Jonathan Peters

Quell-Repository: Cod3nym detection-rules @ 86a04c4594

Lizenz: Detection Rule License 1.1 (Repository-Lizenz)

Originalregel

Gespiegelt über YARA Forge 20260927, das Regelnamen mit der Quelle präfixiert und normalisierte Meta-Felder ergänzt.

Regel-ID: 2a0ce887-299d-5aad-bed3-3e698b4dea79

Tags:FILE

Verwandte Regeln