Zum Inhalt springen
yararules.org
Menü

YARA · SEKOIA.IO Community

SEKOIA_Rat_Win_Nighthawk

Detects Nighthawk RAT

MalwareNighthawkSEKOIA.IO CommunityDetection Rule License 1.1Kompiliert mit YARA-X (mit Warnungen)
Autor
Sekoia.io
Datum
2022-11-23
Geändert
2024-12-19
Score / Qualität
75 / 80

Was diese Regel erkennt

Detects Nighthawk RAT

Zugehörige Malware-Familie: Nighthawk.

Ziele: Windows-PE.

Sie definiert 2 Muster (0 Text, 2 Hex, 0 Regex). Verwendete YARA-Module: pe.

YARA-X meldet: warning[non_bool_expr]: non-boolean expression used as boolean

Zusammenfassung aus den Metadaten und der Bedingung der Regel erzeugt.

Regelquelltext

.yar herunterladen

Enthält die Imports, die zum eigenständigen Kompilieren nötig sind.

rat-win-nighthawk.yarDetection Rule License 1.1
import "pe"

rule SEKOIA_Rat_Win_Nighthawk : FILE
{
	meta:
		description = "Detects Nighthawk RAT"
		author = "Sekoia.io"
		id = "91bc3c5b-83fd-47f8-9652-df0f6a70b693"
		date = "2022-11-23"
		modified = "2024-12-19"
		reference = "https://github.com/SEKOIA-IO/Community"
		source_url = "https://github.com/SEKOIA-IO/Community/blob/a438a5901a211c2abdf75da9c93921ef187473d1/yara_rules/rat_win_nighthawk.yar#L3-L25"
		license_url = "https://github.com/SEKOIA-IO/Community/blob/a438a5901a211c2abdf75da9c93921ef187473d1/LICENSE.md"
		hash = "0551ca07f05c2a8278229c1dc651a2b1273a39914857231b075733753cb2b988"
		hash = "9a57919cc5c194e28acd62719487c563a8f0ef1205b65adbe535386e34e418b8"
		hash = "38881b87826f184cc91559555a3456ecf00128e01986a9df36a72d60fb179ccf"
		hash = "f3bba2bfd4ed48b5426e36eba3b7613973226983a784d24d7a20fcf9df0de74e"
		hash = "b775a8f7629966592cc7727e2081924a7d7cf83edd7447aa60627a2b67d87c94"
		logic_hash = "9a0c72de5b097f74d3c44586b8355c410470992f37d9a09c5f6db36ad6286d70"
		score = 75
		quality = 80
		tags = "FILE"
		version = "1.0"
		classification = "TLP:CLEAR"

	strings:
		$pattern1 = { 48 8d 0d ?? ?? ?? ?? 51 5a 48 81 c1 ?? ?? ?? ?? 48 81 c2 ?? ?? ?? ?? ff e2 }
		$pattern2 = { 66 03 D2 66 33 D1 66 C1 E2 02 66 33 D1 66 23 D0 0F B7 C1 }

	condition:
		uint16( 0 ) == 0x5A4D and filesize < 2MB and ( ( 1 of them ) or ( pe.section_index ( ".profile" ) and pe.section_index ( ".detourc" ) ) )
}

Strings (2 Muster)

BezeichnerTypWertModifikatoren
$pattern1Hex{ 48 8d 0d ?? ?? ?? ?? 51 5a 48 81 c1 ?? ?? ?? ?? 48 81 c2 ?? ?? ?? ?? ff e2 }
$pattern2Hex{ 66 03 D2 66 33 D1 66 C1 E2 02 66 33 D1 66 23 D0 0F B7 C1 }

Bedingung

uint16( 0 ) == 0x5A4D and filesize < 2MB and ( ( 1 of them ) or ( pe.section_index ( ".profile" ) and pe.section_index ( ".detourc" ) ) )

In Worten (Heuristik)

  • Die Datei muss mit „MZ“ beginnen — eine Windows-Programmdatei (PE).
  • Die Datei muss kleiner als 2MB sein (eine günstige Grenze, die große Dateien ausschließt).
  • Mindestens 1 Muster aus der Regel müssen treffen.
  • Nutzt das Modul pe.
  • Prüft PE-Sektionen (Namen, Anzahl oder Eigenschaften).

Diese Regel im Browser testen

Legen Sie eine Datei ab, um sie mit dieser Regel und YARA-X als WebAssembly zu scannen. Nichts wird hochgeladen.

Datei hier ablegen oder klicken zum AuswählenLokal mit YARA-X gescannt. Dateien bis 200 MB.

Im Editor öffnen

Referenzen

Proben-Hashes

Hashes der Proben, die der Autor in den Metadaten der Regel nennt (in Ihrer Threat-Intelligence-Plattform nachschlagen).

  • 0551ca07f05c2a8278229c1dc651a2b1273a39914857231b075733753cb2b988
  • 9a57919cc5c194e28acd62719487c563a8f0ef1205b65adbe535386e34e418b8
  • 38881b87826f184cc91559555a3456ecf00128e01986a9df36a72d60fb179ccf
  • f3bba2bfd4ed48b5426e36eba3b7613973226983a784d24d7a20fcf9df0de74e
  • b775a8f7629966592cc7727e2081924a7d7cf83edd7447aa60627a2b67d87c94

Lizenz & Namensnennung

Autor: Sekoia.io

Quell-Repository: SEKOIA.IO Community @ a438a5901a

Lizenz: Detection Rule License 1.1 (Repository-Lizenz)

Originalregel

Gespiegelt über YARA Forge 20260927, das Regelnamen mit der Quelle präfixiert und normalisierte Meta-Felder ergänzt.

Regel-ID: 91bc3c5b-83fd-47f8-9652-df0f6a70b693

Metadaten

version1.0
classificationTLP:CLEAR

Tags:FILE

Verwandte Regeln

Weitere Nighthawk-Regeln