Zum Inhalt springen
yararules.org
Menü

YARA · ditekSHen detection

DITEKSHEN_MALWARE_Win_Macoute

Detects Macoute

MalwareMacouteditekSHen detectionBSD 2-Clause LicenseKompiliert mit YARA-X
Autor
ditekSHen
Datum
2020-11-06
Geändert
2024-11-01
Score / Qualität
75 / 75

Was diese Regel erkennt

Detects Macoute

Zugehörige Malware-Familie: Macoute.

Ziele: Windows-PE.

Sie definiert 15 Muster (15 Text, 0 Hex, 0 Regex).

Zusammenfassung aus den Metadaten und der Bedingung der Regel erzeugt.

Regelquelltext

.yar herunterladen
malware-win-macoute.yarBSD 2-Clause License
rule DITEKSHEN_MALWARE_Win_Macoute : FILE
{
	meta:
		description = "Detects Macoute"
		author = "ditekSHen"
		id = "0ecfb923-2e51-544e-984d-efdeeb175727"
		date = "2020-11-06"
		modified = "2024-11-01"
		reference = "https://github.com/ditekshen/detection"
		source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/malware.yar#L7814-L7836"
		license_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/LICENSE.txt"
		logic_hash = "1dffa48fe6c0ac053509b5f5994d323fd72d090da0f077b52c9bc33df6997964"
		score = 75
		quality = 75
		tags = "FILE"

	strings:
		$s1 = "scp%s%s%s%s" ascii
		$s2 = "putfile %s %s" ascii
		$s3 = "pscp|%s|%s:%s" ascii
		$s4 = "connect %host %port\\n" ascii
		$s5 = "/ecoute/spool/%s-%lu" ascii
		$s6 = "<f n=\"%s\" s=\"%lu\" d=\"%d-%d-%d\"/>" ascii
		$s7 = "CMPT;%s;%s;%s;%s;%s" ascii
		$s8 = "%s\\apoScreen%lu.dll" ascii
		$s9 = "/cap/%s%lu.jpg" ascii
		$s10 = "INFO;%u;%u;%u;%d;%d;%d;%d;%d;%d;%d;%s" ascii
		$s11 = "SUBJECT: %s is comming!" ascii
		$s12 = "Content-type: multipart/mixed; boundary=\"#BOUNDARY#\"" ascii
		$s13 = "FROM: %s@yahoo.com" ascii
		$s14 = "<html><script language=\"JavaScript\">window.open(\"readme.eml\", null,\"resizable=no,top=6000,left=6000\")</script></html>" ascii
		$s15 = "<html><HEAD></HEAD><body bgColor=3D#ffffff><iframe src=3Dcid:THE-CID height=3D0 width=3D0></iframe></body></html>" ascii

	condition:
		uint16( 0 ) == 0x5a4d and 10 of them
}

Strings (15 Muster)

BezeichnerTypWertModifikatoren
$s1Text"scp%s%s%s%s"ascii
$s2Text"putfile %s %s"ascii
$s3Text"pscp|%s|%s:%s"ascii
$s4Text"connect %host %port\\n"ascii
$s5Text"/ecoute/spool/%s-%lu"ascii
$s6Text"<f n=\"%s\" s=\"%lu\" d=\"%d-%d-%d\"/>"ascii
$s7Text"CMPT;%s;%s;%s;%s;%s"ascii
$s8Text"%s\\apoScreen%lu.dll"ascii
$s9Text"/cap/%s%lu.jpg"ascii
$s10Text"INFO;%u;%u;%u;%d;%d;%d;%d;%d;%d;%d;%s"ascii
$s11Text"SUBJECT: %s is comming!"ascii
$s12Text"Content-type: multipart/mixed; boundary=\"#BOUNDARY#\""ascii
$s13Text"FROM: %s@yahoo.com"ascii
$s14Text"<html><script language=\"JavaScript\">window.open(\"readme.eml\", null,\"resizable=no,top=6000,left=6000\")</script></html>"ascii
$s15Text"<html><HEAD></HEAD><body bgColor=3D#ffffff><iframe src=3Dcid:THE-CID height=3D0 width=3D0></iframe></body></html>"ascii

Bedingung

uint16( 0 ) == 0x5a4d and 10 of them

In Worten (Heuristik)

  • Die Datei muss mit „MZ“ beginnen — eine Windows-Programmdatei (PE).
  • Mindestens 10 Muster aus der Regel müssen treffen.

Diese Regel im Browser testen

Legen Sie eine Datei ab, um sie mit dieser Regel und YARA-X als WebAssembly zu scannen. Nichts wird hochgeladen.

Datei hier ablegen oder klicken zum AuswählenLokal mit YARA-X gescannt. Dateien bis 200 MB.

Im Editor öffnen

Referenzen

Lizenz & Namensnennung

Autor: ditekSHen

Quell-Repository: ditekSHen detection @ e76c93dcde

Lizenz: BSD 2-Clause License (Repository-Lizenz)

Copyright-Hinweis: Copyright 2021 by ditekSHen (https://github.com/ditekshen/detection).

Originalregel

Gespiegelt über YARA Forge 20260927, das Regelnamen mit der Quelle präfixiert und normalisierte Meta-Felder ergänzt.

Regel-ID: 0ecfb923-2e51-544e-984d-efdeeb175727

Tags:FILE

Verwandte Regeln