Zum Inhalt springen
yararules.org
Menü

YARA · elceef yara-rulz

ELCEEF_Suspicious_SFX

Detects self-extracting archives (SFX) executing cmd.exe or powershell.exe

Verdächtig / Huntingelceef yara-rulzMIT LicenseKompiliert mit YARA-X (mit Warnungen)
Autor
marcin@ulikowski.pl
Datum
2023-04-04
Score / Qualität
65 / 73

Was diese Regel erkennt

Detects self-extracting archives (SFX) executing cmd.exe or powershell.exe

Ziele: Windows-PE.

Sie definiert 5 Muster (3 Text, 2 Hex, 0 Regex).

YARA-X meldet: warning[text_as_hex]: hex pattern could be written as text literal

Zusammenfassung aus den Metadaten und der Bedingung der Regel erzeugt.

Regelquelltext

.yar herunterladen
suspicious-sfx.yarMIT License
rule ELCEEF_Suspicious_SFX : FILE
{
	meta:
		description = "Detects self-extracting archives (SFX) executing cmd.exe or powershell.exe"
		author = "marcin@ulikowski.pl"
		id = "78f4ae8b-ba17-5c02-a6f0-66bec873aba8"
		date = "2023-04-04"
		modified = "2023-04-04"
		reference = "https://www.crowdstrike.com/blog/self-extracting-archives-decoy-files-and-their-hidden-payloads/"
		source_url = "https://github.com/elceef/yara-rulz/blob/5683b294a12cf0c875b624933586029ae43a852f/rules/Suspicious_SFX.yara#L1-L22"
		license_url = "https://github.com/elceef/yara-rulz/blob/5683b294a12cf0c875b624933586029ae43a852f/LICENSE"
		logic_hash = "688ed356e2fa936a0e07a8479591c28fb457053ed94351bad4bf367b02f04b0a"
		score = 65
		quality = 73
		tags = "FILE"

	strings:
		$rar = { 52 61 72 21 }
		$zip = { 50 4b 03 04 }
		$setup_cmd = "\nSetup=cmd"
		$setup_powershell = "\nSetup=powershell"
		$silent = "\nSilent=1"

	condition:
		filesize < 1MB and uint16be( 0 ) == 0x4d5a and any of ( $zip , $rar ) and any of ( $setup_* ) and $silent
}

Strings (5 Muster)

BezeichnerTypWertModifikatoren
$rarHex{ 52 61 72 21 }
$zipHex{ 50 4b 03 04 }
$setup_cmdText"\nSetup=cmd"
$setup_powershellText"\nSetup=powershell"
$silentText"\nSilent=1"

Bedingung

filesize < 1MB and uint16be( 0 ) == 0x4d5a and any of ( $zip , $rar ) and any of ( $setup_* ) and $silent

In Worten (Heuristik)

  • Die Datei muss mit „MZ“ beginnen — eine Windows-Programmdatei (PE).
  • Die Datei muss kleiner als 1MB sein (eine günstige Grenze, die große Dateien ausschließt).
  • Mindestens ein Muster aus ( $zip , $rar ) muss treffen.
  • Mindestens ein Muster aus ( $setup_* ) muss treffen.
  • Muster $silent muss vorhanden sein.

Diese Regel im Browser testen

Legen Sie eine Datei ab, um sie mit dieser Regel und YARA-X als WebAssembly zu scannen. Nichts wird hochgeladen.

Datei hier ablegen oder klicken zum AuswählenLokal mit YARA-X gescannt. Dateien bis 200 MB.

Im Editor öffnen

Referenzen

Lizenz & Namensnennung

Autor: marcin@ulikowski.pl

Quell-Repository: elceef yara-rulz @ 5683b294a1

Lizenz: MIT License (Repository-Lizenz)

Copyright-Hinweis: Copyright (c) 2022 Marcin Ulikowski

Originalregel

Gespiegelt über YARA Forge 20260927, das Regelnamen mit der Quelle präfixiert und normalisierte Meta-Felder ergänzt.

Regel-ID: 78f4ae8b-ba17-5c02-a6f0-66bec873aba8

Tags:FILE

Verwandte Regeln