Zum Inhalt springen
yararules.org
Menü

YARA · ESET malware-ioc

ESET_Mozi_Killswitch

Mozi botnet kill switch

MalwareESET malware-iocBSD 2-Clause LicenseKompiliert mit YARA-X
Autor
Ivan Besina
Datum
2023-09-29
Geändert
2023-10-31
Score / Qualität
75 / 80

Was diese Regel erkennt

Mozi botnet kill switch

Sie definiert 4 Muster (4 Text, 0 Hex, 0 Regex).

Zusammenfassung aus den Metadaten und der Bedingung der Regel erzeugt.

Regelquelltext

.yar herunterladen
mozi-killswitch.yarBSD 2-Clause License
rule ESET_Mozi_Killswitch : FILE
{
	meta:
		description = "Mozi botnet kill switch"
		author = "Ivan Besina"
		id = "e3d34ae0-de06-5ff4-b44b-44d264b6dd29"
		date = "2023-09-29"
		modified = "2023-10-31"
		reference = "https://github.com/eset/malware-ioc/"
		source_url = "https://github.com/eset/malware-ioc/blob/17baf44964a77368e9149f4f593eb098beddf1c5/mozi/mozi.yar#L32-L51"
		license_url = "https://github.com/eset/malware-ioc/blob/17baf44964a77368e9149f4f593eb098beddf1c5/LICENSE"
		logic_hash = "90eaed2f7f5595b145b2678a46ef6179082192215369fa9235024b0ce1574a49"
		score = 75
		quality = 80
		tags = "FILE"
		license = "BSD 2-Clause"
		version = "1"

	strings:
		$iptables1 = "iptables -I INPUT  -p tcp --destination-port 7547 -j DROP"
		$iptables2 = "iptables -I OUTPUT -p tcp --sport 30005 -j DROP"
		$haha = "/haha"
		$networks = "/usr/networks"

	condition:
		all of them and filesize < 500KB
}

Strings (4 Muster)

BezeichnerTypWertModifikatoren
$iptables1Text"iptables -I INPUT -p tcp --destination-port 7547 -j DROP"
$iptables2Text"iptables -I OUTPUT -p tcp --sport 30005 -j DROP"
$hahaText"/haha"
$networksText"/usr/networks"

Bedingung

all of them and filesize < 500KB

In Worten (Heuristik)

  • Die Datei muss kleiner als 500KB sein (eine günstige Grenze, die große Dateien ausschließt).
  • Alle Muster aus der Regel müssen treffen.

Diese Regel im Browser testen

Legen Sie eine Datei ab, um sie mit dieser Regel und YARA-X als WebAssembly zu scannen. Nichts wird hochgeladen.

Datei hier ablegen oder klicken zum AuswählenLokal mit YARA-X gescannt. Dateien bis 200 MB.

Im Editor öffnen

Referenzen

Lizenz & Namensnennung

Autor: Ivan Besina

Quell-Repository: ESET malware-ioc @ 17baf44964

Lizenz: BSD 2-Clause License (in den Metadaten der Regel angegeben)

“BSD 2-Clause”

Copyright-Hinweis: Copyright (c) 2014-2018 ESET spol. s r.o.

Originalregel

Gespiegelt über YARA Forge 20260927, das Regelnamen mit der Quelle präfixiert und normalisierte Meta-Felder ergänzt.

Regel-ID: e3d34ae0-de06-5ff4-b44b-44d264b6dd29

Metadaten

version1

Tags:FILE