Zum Inhalt springen
yararules.org
Menü

YARA · Embee Research

EMBEERESEARCH_Win_Darkgate_Xllloader_Oct_2023

Detects XLL Files Related to DarkGate

GenerischEmbee ResearchDetection Rule License 1.1Kompiliert mit YARA-X
Autor
Matthew @ Embee_Research
Datum
2023-10-03
Geändert
2023-10-04
Score / Qualität
75 / 75

Was diese Regel erkennt

Detects XLL Files Related to DarkGate

Sie definiert 2 Muster (1 Text, 1 Hex, 0 Regex).

Zusammenfassung aus den Metadaten und der Bedingung der Regel erzeugt.

Regelquelltext

.yar herunterladen
win-darkgate-xllloader-oct-2023.yarDetection Rule License 1.1
rule EMBEERESEARCH_Win_Darkgate_Xllloader_Oct_2023
{
	meta:
		description = "Detects XLL Files Related to DarkGate"
		author = "Matthew @ Embee_Research"
		id = "4b5d9a2d-90ee-5452-83be-1677e1888045"
		date = "2023-10-03"
		modified = "2023-10-04"
		reference = "https://github.com/embee-research/Yara-detection-rules/"
		source_url = "https://github.com/embee-research/Yara-detection-rules//blob/ac56d6f6fd2a30c8cb6e5c0455d6519210a8b0f4/Rules/win_darkgate_xll_loader_oct_2023.yar#L2-L23"
		license_url = "N/A"
		hash = "091b7c16791cf976e684fe22ee18a4099a4e26ec75fa145b85dd14603b466b00"
		hash = "305de78353b0d599cd40a73c7e639df7f5946d1fc36691c8f7798a99ee6835e7"
		hash = "98c59262ad396b4da5b0a3e82f819923f860e974f687c4fff9b852f25a56c50f"
		hash = "27ec297e1fc34e29963303782ff881e74f8bd4126f4c5be0c4754f745d85f79a"
		hash = "392fd4d218a8e333bc422635e48fdfae59054413c7a6be764c0275752d45ab23"
		hash = "9a34b32d0a66dd4f59aeea82ef48f335913c47c6ca901ab109df702cd166892f"
		logic_hash = "ea9a166550c53225b0a06e2cd86760f63aed8973e889a457470bdba3d87ce6af"
		score = 75
		quality = 75
		tags = ""

	strings:
		$s1 = "xlAutoOpen" wide ascii
		$s2 = { 49 ?? ?? 4c ?? ?? 48 ?? ?? 48 ?? ?? 02 e8 ?? ?? ?? ?? 48 ?? ?? 31 ?? 48 ?? ?? 01 48 ?? ?? 41 ?? ?? ?? ?? 30 ?? 48 ?? ?? 01 49 ?? ?? 75 ?? }

	condition:
		( all of ( $s* ) )
}

Strings (2 Muster)

BezeichnerTypWertModifikatoren
$s1Text"xlAutoOpen"wide ascii
$s2Hex{ 49 ?? ?? 4c ?? ?? 48 ?? ?? 48 ?? ?? 02 e8 ?? ?? ?? ?? 48 ?? ?? 31 ?? 48 ?? ?? 01 48 ?? ?? 41 ?? ?? ?? ?? 30 ?? 48 ?? ?? 01 49 ?? ?? 75 ?? }

Bedingung

( all of ( $s* ) )

In Worten (Heuristik)

  • Alle Muster aus ( $s* ) müssen treffen.

Diese Regel im Browser testen

Legen Sie eine Datei ab, um sie mit dieser Regel und YARA-X als WebAssembly zu scannen. Nichts wird hochgeladen.

Datei hier ablegen oder klicken zum AuswählenLokal mit YARA-X gescannt. Dateien bis 200 MB.

Im Editor öffnen

Referenzen

Proben-Hashes

Hashes der Proben, die der Autor in den Metadaten der Regel nennt (in Ihrer Threat-Intelligence-Plattform nachschlagen).

  • 091b7c16791cf976e684fe22ee18a4099a4e26ec75fa145b85dd14603b466b00
  • 305de78353b0d599cd40a73c7e639df7f5946d1fc36691c8f7798a99ee6835e7
  • 98c59262ad396b4da5b0a3e82f819923f860e974f687c4fff9b852f25a56c50f
  • 27ec297e1fc34e29963303782ff881e74f8bd4126f4c5be0c4754f745d85f79a
  • 392fd4d218a8e333bc422635e48fdfae59054413c7a6be764c0275752d45ab23
  • 9a34b32d0a66dd4f59aeea82ef48f335913c47c6ca901ab109df702cd166892f

Lizenz & Namensnennung

Autor: Matthew @ Embee_Research

Quell-Repository: Embee Research @ ac56d6f6fd

Lizenz: Detection Rule License 1.1 (Repository-Lizenz)

Originalregel

Gespiegelt über YARA Forge 20260927, das Regelnamen mit der Quelle präfixiert und normalisierte Meta-Felder ergänzt.

Regel-ID: 4b5d9a2d-90ee-5452-83be-1677e1888045

Verwandte Regeln