Zum Inhalt springen
yararules.org
Menü

YARA · Mandiant red team tool countermeasures

FIREEYE_RT_APT_Backdoor_Win_Gorat_Memory

Identifies GoRat malware in memory based on strings.

APT / AkteurMandiant red team tool countermeasuresBSD 2-Clause LicenseKompiliert mit YARA-X (mit Warnungen)
Autor
FireEye
Datum
2020-12-08
Geändert
2020-12-09
Score / Qualität
75 / 75

Was diese Regel erkennt

Identifies GoRat malware in memory based on strings.

Sie definiert 13 Muster (13 Text, 0 Hex, 0 Regex).

YARA-X meldet: warning[duplicate_pattern_value]: duplicate pattern value

Zusammenfassung aus den Metadaten und der Bedingung der Regel erzeugt.

Regelquelltext

.yar herunterladen
apt-backdoor-win-gorat-memory.yarBSD 2-Clause License
rule FIREEYE_RT_APT_Backdoor_Win_Gorat_Memory
{
	meta:
		description = "Identifies GoRat malware in memory based on strings."
		author = "FireEye"
		id = "16fb1db7-711c-5d8d-9203-738c94f253fe"
		date = "2020-12-08"
		modified = "2020-12-09"
		reference = "https://github.com/mandiant/red_team_tool_countermeasures/"
		source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/REDFLARE (Gorat)/production/yara/APT_Backdoor_Win_GoRat_Memory.yar#L4-L27"
		license_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/LICENSE.txt"
		hash = "3b926b5762e13ceec7ac3a61e85c93bb"
		logic_hash = "88272e59325d106f96d6b6f1d57daf968823c1e760067dee0334c66c521ce8c2"
		score = 75
		quality = 75
		tags = ""
		rev = 1

	strings:
		$murica = "murica" fullword
		$rat1 = "rat/modules/socks.(*HTTPProxyClient).beacon" fullword
		$rat2 = "rat.(*Core).generateBeacon" fullword
		$rat3 = "rat.gJitter" fullword
		$rat4 = "rat/comms.(*protectedChannel).SendCmdResponse" fullword
		$rat5 = "rat/modules/filemgmt.(*acquire).NewCommandExecution" fullword
		$rat6 = "rat/modules/latlisten.(*latlistensrv).handleCmd" fullword
		$rat7 = "rat/modules/netsweeper.(*netsweeperRunner).runSweep" fullword
		$rat8 = "rat/modules/netsweeper.(*Pinger).listen" fullword
		$rat9 = "rat/modules/socks.(*HTTPProxyClient).beacon" fullword
		$rat10 = "rat/platforms/win/dyloader.(*memoryLoader).ExecutePluginFunction" fullword
		$rat11 = "rat/platforms/win/modules/namedpipe.(*dummy).Open" fullword
		$winblows = "rat/platforms/win.(*winblows).GetStage" fullword

	condition:
		$winblows or #murica > 10 or 3 of ( $rat* )
}

Strings (13 Muster)

BezeichnerTypWertModifikatoren
$muricaText"murica"fullword
$rat1Text"rat/modules/socks.(*HTTPProxyClient).beacon"fullword
$rat2Text"rat.(*Core).generateBeacon"fullword
$rat3Text"rat.gJitter"fullword
$rat4Text"rat/comms.(*protectedChannel).SendCmdResponse"fullword
$rat5Text"rat/modules/filemgmt.(*acquire).NewCommandExecution"fullword
$rat6Text"rat/modules/latlisten.(*latlistensrv).handleCmd"fullword
$rat7Text"rat/modules/netsweeper.(*netsweeperRunner).runSweep"fullword
$rat8Text"rat/modules/netsweeper.(*Pinger).listen"fullword
$rat9Text"rat/modules/socks.(*HTTPProxyClient).beacon"fullword
$rat10Text"rat/platforms/win/dyloader.(*memoryLoader).ExecutePluginFunction"fullword
$rat11Text"rat/platforms/win/modules/namedpipe.(*dummy).Open"fullword
$winblowsText"rat/platforms/win.(*winblows).GetStage"fullword

Bedingung

$winblows or #murica > 10 or 3 of ( $rat* )

In Worten (Heuristik)

  • Mindestens 3 Muster aus ( $rat* ) müssen treffen.
  • Muster $murica muss > 10-mal vorkommen.
  • Muster $winblows muss vorhanden sein.

Diese Regel im Browser testen

Legen Sie eine Datei ab, um sie mit dieser Regel und YARA-X als WebAssembly zu scannen. Nichts wird hochgeladen.

Datei hier ablegen oder klicken zum AuswählenLokal mit YARA-X gescannt. Dateien bis 200 MB.

Im Editor öffnen

Referenzen

Proben-Hashes

Hashes der Proben, die der Autor in den Metadaten der Regel nennt (in Ihrer Threat-Intelligence-Plattform nachschlagen).

  • 3b926b5762e13ceec7ac3a61e85c93bb

Lizenz & Namensnennung

Autor: FireEye

Quell-Repository: Mandiant red team tool countermeasures @ 3561b71724

Lizenz: BSD 2-Clause License (Repository-Lizenz)

Copyright-Hinweis: Copyright (c) 2023, MANDIANT

Originalregel

Gespiegelt über YARA Forge 20260927, das Regelnamen mit der Quelle präfixiert und normalisierte Meta-Felder ergänzt.

Regel-ID: 16fb1db7-711c-5d8d-9203-738c94f253fe

Metadaten

rev1

Verwandte Regeln