YARA · Signature Base (Florian Roth / Nextron)
SIGNATURE_BASE_APT_HKTL_Wiper_Whispergate_Stage3_Jan22
Detects reversed stage3 related to Ukrainian wiper malware
- Autor
- Florian Roth (Nextron Systems)
- Datum
- 2022-01-16
- Geändert
- 2023-12-05
- Score / Qualität
- 75 / 85
Was diese Regel erkennt
Detects reversed stage3 related to Ukrainian wiper malware
Zugehörige Malware-Familie: Whispergate.
Sie definiert 2 Muster (1 Text, 1 Hex, 0 Regex).
Zusammenfassung aus den Metadaten und der Bedingung der Regel erzeugt.
Regelquelltext
rule SIGNATURE_BASE_APT_HKTL_Wiper_Whispergate_Stage3_Jan22 : FILE
{
meta:
= "Detects reversed stage3 related to Ukrainian wiper malware"
= "Florian Roth (Nextron Systems)"
= "d5d562cd-03ef-5450-8044-3f538cea32d0"
= "2022-01-16"
= "2023-12-05"
= "https://twitter.com/juanandres_gs/status/1482827018404257792"
= "https://github.com/Neo23x0/signature-base/blob/94a1c48d7ab499879287ff611dfe7f9c56376030/yara/apt_ua_wiper_whispergate.yar#L59-L74"
= "https://github.com/Neo23x0/signature-base/blob/94a1c48d7ab499879287ff611dfe7f9c56376030/LICENSE"
= "9ef7dbd3da51332a78eff19146d21c82957821e464e8133e9594a07d716d892d"
= "b06536b6a6eebd5fb398ba2617bf68a5b2c4b0035766b3cd0fc03d95019891ec"
= 75
= 85
= "FILE"
strings:
$xc1 = { 65 31 63 70 00 31 79 72 61 72 62 69 4c 73 73 61 6c 43 00 6e 69 61 4d }
$s1 = "lld." wide
condition:
uint16( filesize -2 ) == 0x4d5a and filesize < 5000KB and all of them
}
Strings (2 Muster)
| Bezeichner | Typ | Wert | Modifikatoren |
|---|---|---|---|
| $xc1 | Hex | { 65 31 63 70 00 31 79 72 61 72 62 69 4c 73 73 61 6c 43 00 6e 69 61 4d } | |
| $s1 | Text | "lld." | wide |
Bedingung
uint16( filesize -2 ) == 0x4d5a and filesize < 5000KB and all of themIn Worten (Heuristik)
- Die Datei muss kleiner als 5000KB sein (eine günstige Grenze, die große Dateien ausschließt).
- Alle Muster aus der Regel müssen treffen.
Diese Regel im Browser testen
Legen Sie eine Datei ab, um sie mit dieser Regel und YARA-X als WebAssembly zu scannen. Nichts wird hochgeladen.
Proben-Hashes
Hashes der Proben, die der Autor in den Metadaten der Regel nennt (in Ihrer Threat-Intelligence-Plattform nachschlagen).
- 9ef7dbd3da51332a78eff19146d21c82957821e464e8133e9594a07d716d892d
Lizenz & Namensnennung
Autor: Florian Roth (Nextron Systems)
Quell-Repository: Signature Base (Florian Roth / Nextron) @ 94a1c48d7a
Lizenz: Detection Rule License 1.1 (Repository-Lizenz)
Gespiegelt über YARA Forge 20260927, das Regelnamen mit der Quelle präfixiert und normalisierte Meta-Felder ergänzt.
Regel-ID: d5d562cd-03ef-5450-8044-3f538cea32d0
Tags:FILE
Verwandte Regeln
- APT / AkteurSignature Base (Florian Roth / Nextron)· Florian Roth (Nextron Systems)· 2022-01-16
- APT / AkteurSignature Base (Florian Roth / Nextron)· Florian Roth (Nextron Systems)· 2022-01-16
- MalwareSignature Base (Florian Roth / Nextron)· Florian Roth (Nextron Systems)· 2022-01-16
- MalwareMalpedia signator rules· Felix Bilstein - yara-signator at cocacoding dot com· 2026-05-04
- MalwareCado Security (via Open-Source-YARA-rules)· mmuir@cadosecurity.com· 2022-01-17
- APT / AkteurSignature Base (Florian Roth / Nextron)· Florian Roth (Nextron Systems)· 2022-02-25
- APT / AkteurSignature Base (Florian Roth / Nextron)· Florian Roth (Nextron Systems)· 2023-03-31
- APT / AkteurSignature Base (Florian Roth / Nextron)· Florian Roth (Nextron Systems)· 2022-10-25