Zum Inhalt springen
yararules.org
Menü

YARA · SEKOIA.IO Community

SEKOIA_Apt_Apt28_Ukrnet_Phishing_Page

Detects APT28 Phishing page

APT / AkteurSEKOIA.IO CommunityDetection Rule License 1.1Kompiliert mit YARA-X
Autor
Sekoia.io
Datum
2024-09-02
Geändert
2024-12-19
Score / Qualität
75 / 80

Was diese Regel erkennt

Detects APT28 Phishing page

Sie definiert 8 Muster (8 Text, 0 Hex, 0 Regex).

Zusammenfassung aus den Metadaten und der Bedingung der Regel erzeugt.

Regelquelltext

.yar herunterladen
apt-apt28-ukrnet-phishing-page.yarDetection Rule License 1.1
rule SEKOIA_Apt_Apt28_Ukrnet_Phishing_Page : FILE
{
	meta:
		description = "Detects APT28 Phishing page"
		author = "Sekoia.io"
		id = "053158d8-aac0-486f-8432-834a06f41ed2"
		date = "2024-09-02"
		modified = "2024-12-19"
		reference = "https://github.com/SEKOIA-IO/Community"
		source_url = "https://github.com/SEKOIA-IO/Community/blob/a438a5901a211c2abdf75da9c93921ef187473d1/yara_rules/apt_apt28_ukrnet_phishing_page.yar#L1-L24"
		license_url = "https://github.com/SEKOIA-IO/Community/blob/a438a5901a211c2abdf75da9c93921ef187473d1/LICENSE.md"
		hash = "20dc3a5beb8e3a7801e010b4113efef1"
		hash = "5f1462144d7704101cd71c679ea0322b"
		logic_hash = "3d077a7ce35094bcbda763c131d4564ffbcea0373f5cbd30406ada4e9db36529"
		score = 75
		quality = 80
		tags = "FILE"
		version = "1.0"
		classification = "TLP:CLEAR"

	strings:
		$ = "baseurl+\"/captcha\""
		$ = "(\"sessionID\", sessionID"
		$ = ".responseJSON['origin"
		$ = "var baseurl="
		$ = "(req.responseText.includes("
		$ = "else if (req.responseText=='FAIL')"
		$ = "|| document.getElementById('confpwd"
		$ = "/master/dist/text-security-disc.woff"

	condition:
		4 of them and filesize < 500KB
}

Strings (8 Muster)

BezeichnerTypWertModifikatoren
$Text"baseurl+\"/captcha\""
$Text"(\"sessionID\", sessionID"
$Text".responseJSON['origin"
$Text"var baseurl="
$Text"(req.responseText.includes("
$Text"else if (req.responseText=='FAIL')"
$Text"|| document.getElementById('confpwd"
$Text"/master/dist/text-security-disc.woff"

Bedingung

4 of them and filesize < 500KB

In Worten (Heuristik)

  • Die Datei muss kleiner als 500KB sein (eine günstige Grenze, die große Dateien ausschließt).
  • Mindestens 4 Muster aus der Regel müssen treffen.

Diese Regel im Browser testen

Legen Sie eine Datei ab, um sie mit dieser Regel und YARA-X als WebAssembly zu scannen. Nichts wird hochgeladen.

Datei hier ablegen oder klicken zum AuswählenLokal mit YARA-X gescannt. Dateien bis 200 MB.

Im Editor öffnen

Referenzen

Proben-Hashes

Hashes der Proben, die der Autor in den Metadaten der Regel nennt (in Ihrer Threat-Intelligence-Plattform nachschlagen).

  • 20dc3a5beb8e3a7801e010b4113efef1
  • 5f1462144d7704101cd71c679ea0322b

Lizenz & Namensnennung

Autor: Sekoia.io

Quell-Repository: SEKOIA.IO Community @ a438a5901a

Lizenz: Detection Rule License 1.1 (Repository-Lizenz)

Originalregel

Gespiegelt über YARA Forge 20260927, das Regelnamen mit der Quelle präfixiert und normalisierte Meta-Felder ergänzt.

Regel-ID: 053158d8-aac0-486f-8432-834a06f41ed2

Metadaten

version1.0
classificationTLP:CLEAR

Tags:FILE

Verwandte Regeln