YARA · ESET malware-ioc

ESET_IIS_Group10

Detects Group 10 native IIS malware family

MalwareESET malware-iocBSD 2-Clause LicenseKompiliert mit YARA-X

Autor: ESET Research
Datum: 2021-08-04
Score / Qualität: 75 / 80

Was diese Regel erkennt

Detects Group 10 native IIS malware family

Sie definiert 18 Muster (18 Text, 0 Hex, 0 Regex). Verwendete YARA-Module: pe.

Zusammenfassung aus den Metadaten und der Bedingung der Regel erzeugt.

Regelquelltext

.yar herunterladen

Enthält die Imports und 1 Regel(n), von denen sie abhängt, die zum eigenständigen Kompilieren nötig sind.

iis-group10.yarBSD 2-Clause License

import "pe"

private rule ESET_IIS_Native_Module_PRIVATE : FILE
{
	meta:
		description = "Signature to match an IIS native module (clean or malicious)"
		author = "ESET Research"
		id = "e3bacdc8-fde1-5e83-ac94-79fc345e888d"
		date = "2021-08-04"
		modified = "2021-08-04"
		reference = "https://github.com/eset/malware-ioc/"
		source_url = "https://github.com/eset/malware-ioc/blob/17baf44964a77368e9149f4f593eb098beddf1c5/badiis/badiis.yar#L34-L92"
		license_url = "https://github.com/eset/malware-ioc/blob/17baf44964a77368e9149f4f593eb098beddf1c5/LICENSE"
		logic_hash = "5a388dc3253df606e2648d1f9c018e6dde373bbddce66dba69b7aecdd95bac18"
		score = 75
		quality = 55
		tags = "FILE"
		license = "BSD 2-Clause"
		version = "1"

	strings:
		$e1 = "This module subscribed to event"
		$e2 = "CHttpModule::OnBeginRequest"
		$e3 = "CHttpModule::OnPostBeginRequest"
		$e4 = "CHttpModule::OnAuthenticateRequest"
		$e5 = "CHttpModule::OnPostAuthenticateRequest"
		$e6 = "CHttpModule::OnAuthorizeRequest"
		$e7 = "CHttpModule::OnPostAuthorizeRequest"
		$e8 = "CHttpModule::OnResolveRequestCache"
		$e9 = "CHttpModule::OnPostResolveRequestCache"
		$e10 = "CHttpModule::OnMapRequestHandler"
		$e11 = "CHttpModule::OnPostMapRequestHandler"
		$e12 = "CHttpModule::OnAcquireRequestState"
		$e13 = "CHttpModule::OnPostAcquireRequestState"
		$e14 = "CHttpModule::OnPreExecuteRequestHandler"
		$e15 = "CHttpModule::OnPostPreExecuteRequestHandler"
		$e16 = "CHttpModule::OnExecuteRequestHandler"
		$e17 = "CHttpModule::OnPostExecuteRequestHandler"
		$e18 = "CHttpModule::OnReleaseRequestState"
		$e19 = "CHttpModule::OnPostReleaseRequestState"
		$e20 = "CHttpModule::OnUpdateRequestCache"
		$e21 = "CHttpModule::OnPostUpdateRequestCache"
		$e22 = "CHttpModule::OnLogRequest"
		$e23 = "CHttpModule::OnPostLogRequest"
		$e24 = "CHttpModule::OnEndRequest"
		$e25 = "CHttpModule::OnPostEndRequest"
		$e26 = "CHttpModule::OnSendResponse"
		$e27 = "CHttpModule::OnMapPath"
		$e28 = "CHttpModule::OnReadEntity"
		$e29 = "CHttpModule::OnCustomRequestNotification"
		$e30 = "CHttpModule::OnAsyncCompletion"
		$e31 = "CGlobalModule::OnGlobalStopListening"
		$e32 = "CGlobalModule::OnGlobalCacheCleanup"
		$e33 = "CGlobalModule::OnGlobalCacheOperation"
		$e34 = "CGlobalModule::OnGlobalHealthCheck"
		$e35 = "CGlobalModule::OnGlobalConfigurationChange"
		$e36 = "CGlobalModule::OnGlobalFileChange"
		$e37 = "CGlobalModule::OnGlobalApplicationStart"
		$e38 = "CGlobalModule::OnGlobalApplicationResolveModules"
		$e39 = "CGlobalModule::OnGlobalApplicationStop"
		$e40 = "CGlobalModule::OnGlobalRSCAQuery"
		$e41 = "CGlobalModule::OnGlobalTraceEvent"
		$e42 = "CGlobalModule::OnGlobalCustomNotification"
		$e43 = "CGlobalModule::OnGlobalThreadCleanup"
		$e44 = "CGlobalModule::OnGlobalApplicationPreload"

	condition:
		uint16( 0 ) == 0x5A4D and pe.exports ( "RegisterModule" ) and any of ( $e* )
}

rule ESET_IIS_Group10
{
	meta:
		description = "Detects Group 10 native IIS malware family"
		author = "ESET Research"
		id = "31368b38-9128-594d-888d-e97d3edc7a1f"
		date = "2021-08-04"
		modified = "2021-08-04"
		reference = "https://github.com/eset/malware-ioc/"
		source_url = "https://github.com/eset/malware-ioc/blob/17baf44964a77368e9149f4f593eb098beddf1c5/badiis/badiis.yar#L389-L423"
		license_url = "https://github.com/eset/malware-ioc/blob/17baf44964a77368e9149f4f593eb098beddf1c5/LICENSE"
		logic_hash = "48701168d7da726222227ef757f1a4005a49c0bf300123319ce03db09445b3ef"
		score = 75
		quality = 80
		tags = ""
		license = "BSD 2-Clause"
		version = "1"

	strings:
		$s1 = "IIS7.dll"
		$s2 = "<title>(.*?)title(.*?)>"
		$s3 = "<meta(.*?)name(.*?)=(.*?)keywords(.*?)>"
		$s4 = "<meta(.*?)name(.*?)=(.*?)description(.*?)>"
		$s5 = "js.breakavs.co"
		$s6 = "&#24494;&#20449;&#32676;&#45;&#36187;&#36710;&#80;&#75;&#49;&#48;&#32676;&#12304;&#36827;&#32676;&#24494;&#20449;&#102;&#117;&#110;&#53;&#55;&#54;&#52;&#52;&#12305;&#95;&#24184;&#36816;&#39134;&#33351;&#95;&#24184;&#36816;&#50;&#56;&#32676;"
		$s7 = "&#21271;&#20140;&#36187;&#36710;&#24494;&#20449;&#32676;&#44;&#21271;&#20140;&#24494;&#20449;&#36187;&#36710;&#32676;&#44;&#21271;&#20140;&#36187;&#36710;&#24494;&#20449;&#32676;&#44;&#80;&#75;&#49;&#48;&#32676;&#44;&#21271;&#20140;&#36187;&#36710;&#112;&#107;&#49;&#48;&#24494;&#20449;&#32676;&#44;&#80;&#75;&#49;&#48;&#24494;&#20449;&#32676;&#44;&#36187;&#36710;&#24494;&#20449;&#32676;&#44;&#21271;&#20140;&#36187;&#36710;&#32676;&#44;"
		$s8 = "&#21271;&#20140;&#36187;&#36710;&#24494;&#20449;&#32676;&#44;&#21271;&#20140;&#24494;&#20449;&#36187;&#36710;&#32676;&#12304;&#36827;&#32676;&#24494;&#20449;&#21495;&#102;&#117;&#110;&#53;&#55;&#54;&#52;&#52;&#12305;&#21271;&#20140;&#24494;&#20449;&#36187;&#36710;&#32676;&#44;&#21271;&#20140;&#24494;&#20449;&#36187;&#36710;"
		$e1 = "Baiduspider"
		$e2 = "Sosospider"
		$e3 = "Sogou web spider"
		$e4 = "360Spider"
		$e5 = "YisouSpider"
		$e6 = "sogou.com"
		$e7 = "soso.com"
		$e8 = "uc.cn"
		$e9 = "baidu.com"
		$e10 = "sm.cn"

	condition:
		ESET_IIS_Native_Module_PRIVATE and 2 of ( $e* ) and 3 of ( $s* )
}

Strings (18 Muster)

Bezeichner	Typ	Wert
$s1	Text	"IIS7.dll"
$s2	Text	"<title>(.?)title(.?)>"
$s3	Text	"<meta(.?)name(.?)=(.?)keywords(.?)>"
$s4	Text	"<meta(.?)name(.?)=(.?)description(.?)>"
$s5	Text	"js.breakavs.co"
$s6	Text	"微信群-赛车PK10群【进群微信fun57644&#1 …
$s7	Text	"北京赛车微信群,北京微信赛车群,北京赛车&#244 …
$s8	Text	"北京赛车微信群,北京微信赛车群【进群微信&# …
$e1	Text	"Baiduspider"
$e2	Text	"Sosospider"
$e3	Text	"Sogou web spider"
$e4	Text	"360Spider"
$e5	Text	"YisouSpider"
$e6	Text	"sogou.com"
$e7	Text	"soso.com"
$e8	Text	"uc.cn"
$e9	Text	"baidu.com"
$e10	Text	"sm.cn"

Bedingung

ESET_IIS_Native_Module_PRIVATE and 2 of ( $e* ) and 3 of ( $s* )

In Worten (Heuristik)

Mindestens 2 Muster aus ( $e* ) müssen treffen.
Mindestens 3 Muster aus ( $s* ) müssen treffen.
Hängt von der Regel ESET_IIS_Native_Module_PRIVATE ab.

Diese Regel im Browser testen

Legen Sie eine Datei ab, um sie mit dieser Regel und YARA-X als WebAssembly zu scannen. Nichts wird hochgeladen.

Datei hier ablegen oder klicken zum AuswählenLokal mit YARA-X gescannt. Dateien bis 200 MB.

Im Editor öffnen

Referenzen

https://github.com/eset/malware-ioc/

Lizenz & Namensnennung

Autor: ESET Research

Quell-Repository: ESET malware-ioc @ 17baf44964

Lizenz: BSD 2-Clause License (in den Metadaten der Regel angegeben)

“BSD 2-Clause”

Originalregel

Gespiegelt über YARA Forge 20260927, das Regelnamen mit der Quelle präfixiert und normalisierte Meta-Felder ergänzt.

Regel-ID: 31368b38-9128-594d-888d-e97d3edc7a1f

Metadaten

version	1

ESET_Richheaders_Lazarus_Nukesped_Iconicpayloads_3CX_Q12023
MalwareESET malware-ioc· ESET Research· 2023-03-31
ESET_Cw_Windows_Redline_Panel_Distinctive_Strings
MalwareESET malware-ioc· ESET Research· 2022-10-11
ESET_Cw_Windows_Redline_Panel_Prompts
MalwareESET malware-ioc· ESET Research· 2022-10-11
ESET_Cw_Windows_Redline_Panel_Status_Message_Strings
MalwareESET malware-ioc· ESET Research· 2022-10-11
ESET_Cw_Windows_Redline_Panel_Tab_Headers
MalwareESET malware-ioc· ESET Research· 2022-10-11
ESET_IIS_Group04_Rgdoor
MalwareESET malware-ioc· ESET Research· 2021-08-04
ESET_IIS_Group07_Iispy
MalwareESET malware-ioc· ESET Research· 2021-08-04
ESET_Invisimole_Blob_PRIVATE
MalwareESET malware-ioc· ESET Research· 2021-05-17