Zum Inhalt springen
yararules.org
Menü

YARA · Signature Base (Florian Roth / Nextron)

SIGNATURE_BASE_APT_FIN7_Msdoc_Sep21_1

Detects MalDocs used by FIN7 group

APT / AkteurSignature Base (Florian Roth / Nextron)Detection Rule License 1.1Kompiliert mit YARA-X
Autor
Florian Roth (Nextron Systems)
Datum
2021-09-07
Geändert
2023-12-05
Score / Qualität
85 / 85

Was diese Regel erkennt

Detects MalDocs used by FIN7 group

Sie definiert 5 Muster (4 Text, 1 Hex, 0 Regex).

Zusammenfassung aus den Metadaten und der Bedingung der Regel erzeugt.

Regelquelltext

.yar herunterladen
apt-fin7-msdoc-sep21-1.yarDetection Rule License 1.1
rule SIGNATURE_BASE_APT_FIN7_Msdoc_Sep21_1 : FILE
{
	meta:
		description = "Detects MalDocs used by FIN7 group"
		author = "Florian Roth (Nextron Systems)"
		id = "4fbde087-ec1e-5614-af1e-f342b1766fa2"
		date = "2021-09-07"
		modified = "2023-12-05"
		reference = "https://www.anomali.com/blog/cybercrime-group-fin7-using-windows-11-alpha-themed-docs-to-drop-javascript-backdoor"
		source_url = "https://github.com/Neo23x0/signature-base/blob/94a1c48d7ab499879287ff611dfe7f9c56376030/yara/apt_fin7.yar#L277-L301"
		license_url = "https://github.com/Neo23x0/signature-base/blob/94a1c48d7ab499879287ff611dfe7f9c56376030/LICENSE"
		hash = "d60b6a8310373c9b84e6760c24185535"
		logic_hash = "ffc91cdad91b8ab24840c6ef1a6c39aad081d986c21a88b3f2ea3ec1bcd3b52b"
		score = 85
		quality = 85
		tags = "FILE"

	strings:
		$xc1 = { 00 4A 00 6F 00 68 00 6E 00 0B 00 57 00 31 00 30
               00 50 00 72 00 6F 00 4F 00 66 00 66 00 31 00 36 }
		$s1 = "word_data.bin" ascii fullword
		$s2 = "V:\\DOC\\For_JS" ascii
		$s3 = "HomeCompany" ascii
		$s4 = "W10ProOff16" ascii

	condition:
		uint16( 0 ) == 0xcfd0 and ( 1 of ( $x* ) or 3 of them )
}

Strings (5 Muster)

BezeichnerTypWertModifikatoren
$xc1Hex{ 00 4A 00 6F 00 68 00 6E 00 0B 00 57 00 31 00 30 00 50 00 72 00 6F 00 4F 00 66 00 66 00 31 00 36 }
$s1Text"word_data.bin"ascii fullword
$s2Text"V:\\DOC\\For_JS"ascii
$s3Text"HomeCompany"ascii
$s4Text"W10ProOff16"ascii

Bedingung

uint16( 0 ) == 0xcfd0 and ( 1 of ( $x* ) or 3 of them )

In Worten (Heuristik)

  • Mindestens 1 Muster aus ( $x* ) müssen treffen.
  • Mindestens 3 Muster aus der Regel müssen treffen.

Diese Regel im Browser testen

Legen Sie eine Datei ab, um sie mit dieser Regel und YARA-X als WebAssembly zu scannen. Nichts wird hochgeladen.

Datei hier ablegen oder klicken zum AuswählenLokal mit YARA-X gescannt. Dateien bis 200 MB.

Im Editor öffnen

Referenzen

Proben-Hashes

Hashes der Proben, die der Autor in den Metadaten der Regel nennt (in Ihrer Threat-Intelligence-Plattform nachschlagen).

  • d60b6a8310373c9b84e6760c24185535

Lizenz & Namensnennung

Autor: Florian Roth (Nextron Systems)

Quell-Repository: Signature Base (Florian Roth / Nextron) @ 94a1c48d7a

Lizenz: Detection Rule License 1.1 (Repository-Lizenz)

Originalregel

Gespiegelt über YARA Forge 20260927, das Regelnamen mit der Quelle präfixiert und normalisierte Meta-Felder ergänzt.

Regel-ID: 4fbde087-ec1e-5614-af1e-f342b1766fa2

Tags:FILE

Verwandte Regeln