Zum Inhalt springen
yararules.org
Menü

YARA · dr4k0nia yara-rules

DR4K0NIA_Msil_Susp_Obf_Xorstringsnet

Detects XorStringsNET string encryption, and other obfuscators derived from it

Verdächtig / Huntingdr4k0nia yara-rulesDetection Rule License 1.1Kompiliert mit YARA-X
Autor
dr4k0nia
Datum
2023-03-26
Score / Qualität
65 / 85

Was diese Regel erkennt

Detects XorStringsNET string encryption, and other obfuscators derived from it

Ziele: Windows-PE, .NET-Assembly.

Sie definiert 1 Muster (0 Text, 1 Hex, 0 Regex). Verwendete YARA-Module: dotnet.

Zusammenfassung aus den Metadaten und der Bedingung der Regel erzeugt.

Regelquelltext

.yar herunterladen

Enthält die Imports, die zum eigenständigen Kompilieren nötig sind.

msil-susp-obf-xorstringsnet.yarDetection Rule License 1.1
import "dotnet"

rule DR4K0NIA_Msil_Susp_Obf_Xorstringsnet : FILE
{
	meta:
		description = "Detects XorStringsNET string encryption, and other obfuscators derived from it"
		author = "dr4k0nia"
		id = "0bea654d-9244-5320-a815-691384decc74"
		date = "2023-03-26"
		modified = "2023-03-26"
		reference = "https://github.com/dr4k0nia/yara-rules"
		source_url = "https://github.com/dr4k0nia/yara-rules/blob/4b10f9b79a4cfb3ec9cb5675f32cc7ee6885fbd8/dotnet/msil_susp_obf_xorstringsnet.yar#L3-L16"
		license_url = "https://github.com/dr4k0nia/yara-rules/blob/4b10f9b79a4cfb3ec9cb5675f32cc7ee6885fbd8/LICENSE.md"
		logic_hash = "c494b5b64bcb63d1edd611206fb41eb9a23a940a72c3e9fc3f626e91482b1352"
		score = 65
		quality = 85
		tags = "FILE"
		version = "1.0"

	strings:
		$pattern = { 06 1E 58 07 8E 69 FE17 }

	condition:
		uint16( 0 ) == 0x5a4d and filesize < 25MB and dotnet.is_dotnet and $pattern
}

Strings (1 Muster)

BezeichnerTypWertModifikatoren
$patternHex{ 06 1E 58 07 8E 69 FE17 }

Bedingung

uint16( 0 ) == 0x5a4d and filesize < 25MB and dotnet.is_dotnet and $pattern

In Worten (Heuristik)

  • Die Datei muss mit „MZ“ beginnen — eine Windows-Programmdatei (PE).
  • Die Datei muss kleiner als 25MB sein (eine günstige Grenze, die große Dateien ausschließt).
  • Nutzt das Modul dotnet.
  • Muster $pattern muss vorhanden sein.

Diese Regel im Browser testen

Legen Sie eine Datei ab, um sie mit dieser Regel und YARA-X als WebAssembly zu scannen. Nichts wird hochgeladen.

Datei hier ablegen oder klicken zum AuswählenLokal mit YARA-X gescannt. Dateien bis 200 MB.

Im Editor öffnen

Referenzen

Lizenz & Namensnennung

Autor: dr4k0nia

Quell-Repository: dr4k0nia yara-rules @ 4b10f9b79a

Lizenz: Detection Rule License 1.1 (Repository-Lizenz)

Originalregel

Gespiegelt über YARA Forge 20260927, das Regelnamen mit der Quelle präfixiert und normalisierte Meta-Felder ergänzt.

Regel-ID: 0bea654d-9244-5320-a815-691384decc74

Metadaten

version1.0

Tags:FILE

Verwandte Regeln