YARA · SEKOIA.IO Community
SEKOIA_Bumblebee_Loader
Detect the BUMBLEBEE loader
- Autor
- Sekoia.io
- Datum
- 2022-05-23
- Geändert
- 2024-12-19
- Score / Qualität
- 75 / 80
Was diese Regel erkennt
Detect the BUMBLEBEE loader
Zugehörige Malware-Familie: BumbleBee.
Ziele: Windows-PE.
Sie definiert 4 Muster (3 Text, 1 Hex, 0 Regex).
Zusammenfassung aus den Metadaten und der Bedingung der Regel erzeugt.
Regelquelltext
bumblebee-loader.yarDetection Rule License 1.1
rule SEKOIA_Bumblebee_Loader : FILE
{
meta:
= "Detect the BUMBLEBEE loader"
= "Sekoia.io"
= "8fd795c7-6896-498c-a892-de9da6427b60"
= "2022-05-23"
= "2024-12-19"
= "https://github.com/SEKOIA-IO/Community"
= "https://github.com/SEKOIA-IO/Community/blob/a438a5901a211c2abdf75da9c93921ef187473d1/yara_rules/bumblebee_loader.yar#L1-L18"
= "https://github.com/SEKOIA-IO/Community/blob/a438a5901a211c2abdf75da9c93921ef187473d1/LICENSE.md"
= "73c0195c51b5f8c36ab6d7a0e783f1229709d51fc42e2486c02fa65bbbdf955b"
= 75
= 80
= "FILE"
= "1.0"
= "TLP:CLEAR"
strings:
$str0 = { 5a 00 3a 00 5c 00 68 00 6f 00 6f 00 6b 00 65 00 72 00 32 00 5c 00 43 00 6f 00 6d 00 6d 00 6f 00 6e 00 5c 00 6d 00 64 00 35 00 2e 00 63 00 70 00 70 00 }
$str1 = "/gate" ascii
$str2 = "3C29FEA2-6FE8-4BF9-B98A-0E3442115F67" wide
$str3 = "BLACK" ascii
condition:
uint16be( 0 ) == 0x4d5a and 3 of them
}
Strings (4 Muster)
| Bezeichner | Typ | Wert | Modifikatoren |
|---|---|---|---|
| $str0 | Hex | { 5a 00 3a 00 5c 00 68 00 6f 00 6f 00 6b 00 65 00 72 00 32 00 5c 00 43 00 6f 00 6d 00 6d 00 6f 00 6e 00 5c 00 6d 00 64 00 35 00 2e 00 63 00 70 00 70 00 } | |
| $str1 | Text | "/gate" | ascii |
| $str2 | Text | "3C29FEA2-6FE8-4BF9-B98A-0E3442115F67" | wide |
| $str3 | Text | "BLACK" | ascii |
Bedingung
uint16be( 0 ) == 0x4d5a and 3 of themIn Worten (Heuristik)
- Die Datei muss mit „MZ“ beginnen — eine Windows-Programmdatei (PE).
- Mindestens 3 Muster aus der Regel müssen treffen.
Diese Regel im Browser testen
Legen Sie eine Datei ab, um sie mit dieser Regel und YARA-X als WebAssembly zu scannen. Nichts wird hochgeladen.
Datei hier ablegen oder klicken zum AuswählenLokal mit YARA-X gescannt. Dateien bis 200 MB.
Referenzen
Lizenz & Namensnennung
Autor: Sekoia.io
Quell-Repository: SEKOIA.IO Community @ a438a5901a
Lizenz: Detection Rule License 1.1 (Repository-Lizenz)
Gespiegelt über YARA Forge 20260927, das Regelnamen mit der Quelle präfixiert und normalisierte Meta-Felder ergänzt.
Regel-ID: 8fd795c7-6896-498c-a892-de9da6427b60
Metadaten
| version | 1.0 |
|---|---|
| classification | TLP:CLEAR |
Tags:FILE
Verwandte Regeln
- MalwareSEKOIA.IO Community· Sekoia.io· 2022-04-08
- MalwareMalpedia signator rules· Felix Bilstein - yara-signator at cocacoding dot com· 2026-05-04
- MalwareCAPE Sandbox (CAPEv2)· enzo & kevoreilly· 2022-04-21
- MalwareCAPE Sandbox (CAPEv2)· enzok· 2022-04-21
- MalwareCAPE Sandbox (CAPEv2)· kevoreilly· 2022-04-21
- CHECK_POINT_Malware_Bumblebee_PackedNur MetadatenMalwareCheck Point (via Open-Source-YARA-rules)· Marc Salinas @ CheckPoint Research· 2022-07-13
- MalwareSEKOIA.IO Community· Sekoia.io· 2024-07-16
- MalwareSEKOIA.IO Community· Sekoia.io· 2024-08-23