Zum Inhalt springen
yararules.org
Menü

YARA · SEKOIA.IO Community

SEKOIA_Apt_Kimsuky_Vbs

VBS files used by Kimsuky

APT / AkteurKimsukySEKOIA.IO CommunityDetection Rule License 1.1Kompiliert mit YARA-X
Autor
Sekoia.io
Datum
2024-09-23
Geändert
2024-12-19
Score / Qualität
75 / 80

Was diese Regel erkennt

VBS files used by Kimsuky

Zugehörige Malware-Familie: Kimsuky.

Sie definiert 3 Muster (3 Text, 0 Hex, 0 Regex).

Zusammenfassung aus den Metadaten und der Bedingung der Regel erzeugt.

Regelquelltext

.yar herunterladen
apt-kimsuky-vbs.yarDetection Rule License 1.1
rule SEKOIA_Apt_Kimsuky_Vbs : FILE
{
	meta:
		description = "VBS files used by Kimsuky"
		author = "Sekoia.io"
		id = "3f92dbda-2ddb-4fa3-a587-743f65ced9e4"
		date = "2024-09-23"
		modified = "2024-12-19"
		reference = "https://github.com/SEKOIA-IO/Community"
		source_url = "https://github.com/SEKOIA-IO/Community/blob/a438a5901a211c2abdf75da9c93921ef187473d1/yara_rules/apt_kimsuky_vbs.yar#L1-L23"
		license_url = "https://github.com/SEKOIA-IO/Community/blob/a438a5901a211c2abdf75da9c93921ef187473d1/LICENSE.md"
		hash = "12386be22ca82fce98a83a5a19e632bc"
		hash = "7b5783d42240651af78ebf7e01b31fe8"
		hash = "ff7d68e5fb253664ce64c85457b28041"
		hash = "622358469e5e24114dd0eb03da815576"
		hash = "edbb2aa40408e2a7936067ace38b445b"
		hash = "73ed9b012785dc3b3ee33aa52700cfe4"
		logic_hash = "b4a05a50c8223198082f6f6aa7309cc19b019738fb99e37c6f2140b8ef7cecc9"
		score = 75
		quality = 80
		tags = "FILE"
		version = "1.0"
		classification = "TLP:CLEAR"

	strings:
		$ = ")):Next:Execute " ascii
		$ = "=\"\":" ascii
		$ = "\":for "

	condition:
		all of them and filesize < 10KB
}

Strings (3 Muster)

BezeichnerTypWertModifikatoren
$Text")):Next:Execute "ascii
$Text"=\"\":"ascii
$Text"\":for "

Bedingung

all of them and filesize < 10KB

In Worten (Heuristik)

  • Die Datei muss kleiner als 10KB sein (eine günstige Grenze, die große Dateien ausschließt).
  • Alle Muster aus der Regel müssen treffen.

Diese Regel im Browser testen

Legen Sie eine Datei ab, um sie mit dieser Regel und YARA-X als WebAssembly zu scannen. Nichts wird hochgeladen.

Datei hier ablegen oder klicken zum AuswählenLokal mit YARA-X gescannt. Dateien bis 200 MB.

Im Editor öffnen

Referenzen

Proben-Hashes

Hashes der Proben, die der Autor in den Metadaten der Regel nennt (in Ihrer Threat-Intelligence-Plattform nachschlagen).

  • 12386be22ca82fce98a83a5a19e632bc
  • 7b5783d42240651af78ebf7e01b31fe8
  • ff7d68e5fb253664ce64c85457b28041
  • 622358469e5e24114dd0eb03da815576
  • edbb2aa40408e2a7936067ace38b445b
  • 73ed9b012785dc3b3ee33aa52700cfe4

Lizenz & Namensnennung

Autor: Sekoia.io

Quell-Repository: SEKOIA.IO Community @ a438a5901a

Lizenz: Detection Rule License 1.1 (Repository-Lizenz)

Originalregel

Gespiegelt über YARA Forge 20260927, das Regelnamen mit der Quelle präfixiert und normalisierte Meta-Felder ergänzt.

Regel-ID: 3f92dbda-2ddb-4fa3-a587-743f65ced9e4

Metadaten

version1.0
classificationTLP:CLEAR

Tags:FILE

Verwandte Regeln

Weitere Kimsuky-Regeln