YARA · SEKOIA.IO Community

SEKOIA_Koi_Koiloader

Detects Koi Loader

MalwareKoiloaderSEKOIA.IO CommunityDetection Rule License 1.1Kompiliert mit YARA-X

Autor: Sekoia.io
Datum: 2024-03-20
Geändert: 2024-12-19
Score / Qualität: 75 / 80

Was diese Regel erkennt

Detects Koi Loader

Zugehörige Malware-Familie: Koiloader.

Ziele: Windows-PE.

Sie definiert 4 Muster (4 Text, 0 Hex, 0 Regex).

Zusammenfassung aus den Metadaten und der Bedingung der Regel erzeugt.

Regelquelltext

.yar herunterladen

koi-koiloader.yarDetection Rule License 1.1

rule SEKOIA_Koi_Koiloader : FILE
{
	meta:
		description = "Detects Koi Loader"
		author = "Sekoia.io"
		id = "b8289d78-42de-4919-b2c5-3c926ddd8043"
		date = "2024-03-20"
		modified = "2024-12-19"
		reference = "https://github.com/SEKOIA-IO/Community"
		source_url = "https://github.com/SEKOIA-IO/Community/blob/a438a5901a211c2abdf75da9c93921ef187473d1/yara_rules/koi_koiloader.yar#L1-L19"
		license_url = "https://github.com/SEKOIA-IO/Community/blob/a438a5901a211c2abdf75da9c93921ef187473d1/LICENSE.md"
		logic_hash = "7b4f12b0dec3927a46db1c8b2163e54a0a515d2b7360ba94647097fecf3d4653"
		score = 75
		quality = 80
		tags = "FILE"
		version = "1.0"
		classification = "TLP:CLEAR"

	strings:
		$s2 = "%d|%s|%.16s|" ascii wide
		$s3 = "Release" ascii wide
		$s4 = "%s|%d.%d (%d)|%S|%S|%S" ascii wide
		$s5 = "InitiateSystemShutdownExW" ascii wide

	condition:
		uint16be( 0 ) == 0x4d5a and filesize < 11MB and all of them
}

Strings (4 Muster)

Bezeichner	Typ	Wert	Modifikatoren
$s2	Text	"%d\|%s\|%.16s\|"	ascii wide
$s3	Text	"Release"	ascii wide
$s4	Text	"%s\|%d.%d (%d)\|%S\|%S\|%S"	ascii wide
$s5	Text	"InitiateSystemShutdownExW"	ascii wide

Bedingung

uint16be( 0 ) == 0x4d5a and filesize < 11MB and all of them

In Worten (Heuristik)

Die Datei muss mit „MZ“ beginnen — eine Windows-Programmdatei (PE).
Die Datei muss kleiner als 11MB sein (eine günstige Grenze, die große Dateien ausschließt).
Alle Muster aus der Regel müssen treffen.

Diese Regel im Browser testen

Legen Sie eine Datei ab, um sie mit dieser Regel und YARA-X als WebAssembly zu scannen. Nichts wird hochgeladen.

Datei hier ablegen oder klicken zum AuswählenLokal mit YARA-X gescannt. Dateien bis 200 MB.

Im Editor öffnen

Referenzen

https://github.com/SEKOIA-IO/Community

Lizenz & Namensnennung

Autor: Sekoia.io

Quell-Repository: SEKOIA.IO Community @ a438a5901a

Lizenz: Detection Rule License 1.1 (Repository-Lizenz)

Originalregel

Gespiegelt über YARA Forge 20260927, das Regelnamen mit der Quelle präfixiert und normalisierte Meta-Felder ergänzt.

Regel-ID: b8289d78-42de-4919-b2c5-3c926ddd8043

Metadaten

version	1.0
classification	TLP:CLEAR

Tags:FILE

SEKOIA_Koi_Netstealer
MalwareSEKOIA.IO Community· Sekoia.io· 2024-03-20
SEKOIA_Koiloader_Lnk
MalwareSEKOIA.IO Community· Sekoia.io· 2024-03-20
SEKOIA_Koiloader_Powershell_Reflective_Loading
MalwareSEKOIA.IO Community· Sekoia.io· 2024-03-20
MALPEDIA_Win_Koiloader_Auto
MalwareMalpedia signator rules· Felix Bilstein - yara-signator at cocacoding dot com· 2026-05-04
CAPE_Koiloader
MalwareCAPE Sandbox (CAPEv2)· YungBinary· 2024-10-25
RUSSIANPANDA_Win_Mal_Koi_LoaderNur Metadaten
MalwareRussianPanda· RussianPanda· 2024-04-04
RUSSIANPANDA_Win_Mal_Koi_Loader_DecryptedNur Metadaten
MalwareRussianPanda· RussianPanda· 2024-04-04
SEKOIA_Downloader_Kimsuky_Lnk
MalwareSEKOIA.IO Community· Sekoia.io· 2024-07-16

Weitere Koiloader-Regeln