Zum Inhalt springen
yararules.org
Menü

YARA · Signature Base (Florian Roth / Nextron)

SIGNATURE_BASE_APT_MAL_NK_Lazarus_VHD_Ransomware_Oct20_1

Detects Lazarus VHD Ransomware

APT / AkteurVhd RansomwareSignature Base (Florian Roth / Nextron)Detection Rule License 1.1Kompiliert mit YARA-X
Autor
Florian Roth (Nextron Systems)
Datum
2020-10-05
Geändert
2023-12-05
Score / Qualität
75 / 85

Was diese Regel erkennt

Detects Lazarus VHD Ransomware

Zugehörige Malware-Familie: Vhd Ransomware.

Ziele: Windows-PE.

Sie definiert 6 Muster (3 Text, 3 Hex, 0 Regex).

Zusammenfassung aus den Metadaten und der Bedingung der Regel erzeugt.

Regelquelltext

.yar herunterladen
apt-mal-nk-lazarus-vhd-ransomware-oct20-1.yarDetection Rule License 1.1
rule SIGNATURE_BASE_APT_MAL_NK_Lazarus_VHD_Ransomware_Oct20_1 : FILE
{
	meta:
		description = "Detects Lazarus VHD Ransomware"
		author = "Florian Roth (Nextron Systems)"
		id = "5cb3c136-ec5c-5596-8dcc-e4c6ef33050a"
		date = "2020-10-05"
		modified = "2023-12-05"
		reference = "https://securelist.com/lazarus-on-the-hunt-for-big-game/97757/"
		source_url = "https://github.com/Neo23x0/signature-base/blob/94a1c48d7ab499879287ff611dfe7f9c56376030/yara/apt_lazarus_vhd_ransomware.yar#L2-L24"
		license_url = "https://github.com/Neo23x0/signature-base/blob/94a1c48d7ab499879287ff611dfe7f9c56376030/LICENSE"
		hash = "52888b5f881f4941ae7a8f4d84de27fc502413861f96ee58ee560c09c11880d6"
		hash = "5e78475d10418c6938723f6cfefb89d5e9de61e45ecf374bb435c1c99dd4a473"
		hash = "6cb9afff8166976bd62bb29b12ed617784d6e74b110afcf8955477573594f306"
		logic_hash = "95c56c5111bb227da8f8a3f8aa4f23e1348bc76ff76a05fc3cae89f9fad1bb52"
		score = 75
		quality = 85
		tags = "FILE"

	strings:
		$s1 = "HowToDecrypt.txt" wide fullword
		$s2 = "rsa.cpp" wide fullword
		$s3 = "sc stop \"Microsoft Exchange Compliance Service\"" ascii fullword
		$op1 = { 8b 8d bc fc ff ff 8b 94 bd 34 03 00 00 33 c0 50 }
		$op2 = { 8b 8d 98 f9 ff ff 8d 64 24 00 8b 39 3b bc 85 34 }
		$op3 = { 8b 94 85 34 03 00 00 89 11 40 83 c1 04 3b 06 7c }

	condition:
		uint16( 0 ) == 0x5a4d and filesize < 400KB and 2 of them
}

Strings (6 Muster)

BezeichnerTypWertModifikatoren
$s1Text"HowToDecrypt.txt"wide fullword
$s2Text"rsa.cpp"wide fullword
$s3Text"sc stop \"Microsoft Exchange Compliance Service\""ascii fullword
$op1Hex{ 8b 8d bc fc ff ff 8b 94 bd 34 03 00 00 33 c0 50 }
$op2Hex{ 8b 8d 98 f9 ff ff 8d 64 24 00 8b 39 3b bc 85 34 }
$op3Hex{ 8b 94 85 34 03 00 00 89 11 40 83 c1 04 3b 06 7c }

Bedingung

uint16( 0 ) == 0x5a4d and filesize < 400KB and 2 of them

In Worten (Heuristik)

  • Die Datei muss mit „MZ“ beginnen — eine Windows-Programmdatei (PE).
  • Die Datei muss kleiner als 400KB sein (eine günstige Grenze, die große Dateien ausschließt).
  • Mindestens 2 Muster aus der Regel müssen treffen.

Diese Regel im Browser testen

Legen Sie eine Datei ab, um sie mit dieser Regel und YARA-X als WebAssembly zu scannen. Nichts wird hochgeladen.

Datei hier ablegen oder klicken zum AuswählenLokal mit YARA-X gescannt. Dateien bis 200 MB.

Im Editor öffnen

Referenzen

Proben-Hashes

Hashes der Proben, die der Autor in den Metadaten der Regel nennt (in Ihrer Threat-Intelligence-Plattform nachschlagen).

  • 52888b5f881f4941ae7a8f4d84de27fc502413861f96ee58ee560c09c11880d6
  • 5e78475d10418c6938723f6cfefb89d5e9de61e45ecf374bb435c1c99dd4a473
  • 6cb9afff8166976bd62bb29b12ed617784d6e74b110afcf8955477573594f306

Lizenz & Namensnennung

Autor: Florian Roth (Nextron Systems)

Quell-Repository: Signature Base (Florian Roth / Nextron) @ 94a1c48d7a

Lizenz: Detection Rule License 1.1 (Repository-Lizenz)

Originalregel

Gespiegelt über YARA Forge 20260927, das Regelnamen mit der Quelle präfixiert und normalisierte Meta-Felder ergänzt.

Regel-ID: 5cb3c136-ec5c-5596-8dcc-e4c6ef33050a

Tags:FILE

Verwandte Regeln

Weitere Vhd Ransomware-Regeln