Zum Inhalt springen
yararules.org
Menü

YARA · SEKOIA.IO Community

SEKOIA_Tool_Win_Lightrail

Detect the LIGHTRAIL tunneler used by UNC1549

HacktoolLightrailSEKOIA.IO CommunityDetection Rule License 1.1Kompiliert mit YARA-X
Autor
Sekoia.io
Datum
2024-02-29
Geändert
2024-12-19
Score / Qualität
75 / 80

Was diese Regel erkennt

Detect the LIGHTRAIL tunneler used by UNC1549

Zugehörige Malware-Familie: Lightrail.

Ziele: Windows-PE.

Sie definiert 3 Muster (3 Text, 0 Hex, 0 Regex).

Zusammenfassung aus den Metadaten und der Bedingung der Regel erzeugt.

Regelquelltext

.yar herunterladen
tool-win-lightrail.yarDetection Rule License 1.1
rule SEKOIA_Tool_Win_Lightrail : FILE
{
	meta:
		description = "Detect the LIGHTRAIL tunneler used by UNC1549"
		author = "Sekoia.io"
		id = "39259f2c-11fe-4edd-8a9e-f36920132272"
		date = "2024-02-29"
		modified = "2024-12-19"
		reference = "https://www.mandiant.com/resources/blog/suspected-iranian-unc1549-targets-israel-middle-east"
		source_url = "https://github.com/SEKOIA-IO/Community/blob/a438a5901a211c2abdf75da9c93921ef187473d1/yara_rules/tool_win_lightrail.yar#L1-L24"
		license_url = "https://github.com/SEKOIA-IO/Community/blob/a438a5901a211c2abdf75da9c93921ef187473d1/LICENSE.md"
		hash = "e7ddab967b0487827db069833221aa2fe4ca05f7cda976cbc528ecb306a22774"
		hash = "4ecd511d9654f7fd66a61eb4ab6d7153040b5092d1594ff39935f01fbdbd4914"
		hash = "3472bc8ed6182eb17811c97ada7ebd48034ad09b6a7062b341fe09818d7a309f"
		hash = "ec7b97092278123f0c0613c5f9252eeccf55265d4aa5f2cfed57a63ebf3530ac"
		hash = "8f3757b8f5888a1303af71cbc1a106927d3d6c45552ee192c3ed0347804c2194"
		hash = "8b47b5ed1ed7afcc9194e1350d4e1996bd91ca3204747b586f309f4609a1a4cc"
		logic_hash = "84491bf7e955930c04e96f63ffb8c8f35ad02d9a917eceb727bf87c9ed3d831e"
		score = 75
		quality = 80
		tags = "FILE"
		version = "1.0"
		classification = "TLP:CLEAR"

	strings:
		$s1 = "lastenzug.dll"
		$s2 = "Lastenzug.dll"
		$azure = ".cloudapp.azure.com" wide

	condition:
		uint16be( 0 ) == 0x4d5a and 1 of ( $s* ) and $azure
}

Strings (3 Muster)

BezeichnerTypWertModifikatoren
$s1Text"lastenzug.dll"
$s2Text"Lastenzug.dll"
$azureText".cloudapp.azure.com"wide

Bedingung

uint16be( 0 ) == 0x4d5a and 1 of ( $s* ) and $azure

In Worten (Heuristik)

  • Die Datei muss mit „MZ“ beginnen — eine Windows-Programmdatei (PE).
  • Mindestens 1 Muster aus ( $s* ) müssen treffen.
  • Muster $azure muss vorhanden sein.

Diese Regel im Browser testen

Legen Sie eine Datei ab, um sie mit dieser Regel und YARA-X als WebAssembly zu scannen. Nichts wird hochgeladen.

Datei hier ablegen oder klicken zum AuswählenLokal mit YARA-X gescannt. Dateien bis 200 MB.

Im Editor öffnen

Referenzen

Proben-Hashes

Hashes der Proben, die der Autor in den Metadaten der Regel nennt (in Ihrer Threat-Intelligence-Plattform nachschlagen).

  • e7ddab967b0487827db069833221aa2fe4ca05f7cda976cbc528ecb306a22774
  • 4ecd511d9654f7fd66a61eb4ab6d7153040b5092d1594ff39935f01fbdbd4914
  • 3472bc8ed6182eb17811c97ada7ebd48034ad09b6a7062b341fe09818d7a309f
  • ec7b97092278123f0c0613c5f9252eeccf55265d4aa5f2cfed57a63ebf3530ac
  • 8f3757b8f5888a1303af71cbc1a106927d3d6c45552ee192c3ed0347804c2194
  • 8b47b5ed1ed7afcc9194e1350d4e1996bd91ca3204747b586f309f4609a1a4cc

Lizenz & Namensnennung

Autor: Sekoia.io

Quell-Repository: SEKOIA.IO Community @ a438a5901a

Lizenz: Detection Rule License 1.1 (Repository-Lizenz)

Originalregel

Gespiegelt über YARA Forge 20260927, das Regelnamen mit der Quelle präfixiert und normalisierte Meta-Felder ergänzt.

Regel-ID: 39259f2c-11fe-4edd-8a9e-f36920132272

Metadaten

version1.0
classificationTLP:CLEAR

Tags:FILE

Verwandte Regeln