YARA · Signature Base (Florian Roth / Nextron)

SIGNATURE_BASE_APT_MAL_RU_WIN_Snake_Malware_May23_1

Hunting Russian Intelligence Snake Malware

APT / AkteurWindows Malware SnakeSignature Base (Florian Roth / Nextron)MIT LicenseKompiliert mit YARA-X (mit Warnungen)

Autor: Matt Suiche (Magnet Forensics)
Datum: 2023-05-10
Geändert: 2025-03-21
Score / Qualität: 70 / 71

Was diese Regel erkennt

Hunting Russian Intelligence Snake Malware

Zugehörige Malware-Familie: Windows Malware Snake.

Sie definiert 7 Muster (0 Text, 7 Hex, 0 Regex).

YARA-X meldet: warning[text_as_hex]: hex pattern could be written as text literal

Zusammenfassung aus den Metadaten und der Bedingung der Regel erzeugt.

Regelquelltext

.yar herunterladen

apt-mal-ru-win-snake-malware-may23-1.yarMIT License

rule SIGNATURE_BASE_APT_MAL_RU_WIN_Snake_Malware_May23_1 : MEMORY
{
	meta:
		description = "Hunting Russian Intelligence Snake Malware"
		author = "Matt Suiche (Magnet Forensics)"
		id = "53d2de3c-350c-5090-84bb-b6cde16a80ad"
		date = "2023-05-10"
		modified = "2025-03-21"
		reference = "https://media.defense.gov/2023/May/09/2003218554/-1/-1/0/JOINT_CSA_HUNTING_RU_INTEL_SNAKE_MALWARE_20230509.PDF"
		source_url = "https://github.com/Neo23x0/signature-base/blob/94a1c48d7ab499879287ff611dfe7f9c56376030/yara/apt_mal_ru_snake_may23.yar#L17-L42"
		license_url = "https://github.com/Neo23x0/signature-base/blob/94a1c48d7ab499879287ff611dfe7f9c56376030/LICENSE"
		logic_hash = "7cff7152259bb17a9b72b91f0fbef220aad2f35a1d2758d7225316a9896bf845"
		score = 70
		quality = 71
		tags = "MEMORY"
		threat_name = "Windows.Malware.Snake"
		scan_context = "memory"
		license = "MIT"

	strings:
		$a = { 25 73 23 31 }
		$b = { 25 73 23 32 }
		$c = { 25 73 23 33 }
		$d = { 25 73 23 34 }
		$e = { 2e 74 6d 70 }
		$g = { 2e 73 61 76 }
		$h = { 2e 75 70 64 }

	condition:
		all of them
}

Strings (7 Muster)

Bezeichner	Typ	Wert
$a	Hex	{ 25 73 23 31 }
$b	Hex	{ 25 73 23 32 }
$c	Hex	{ 25 73 23 33 }
$d	Hex	{ 25 73 23 34 }
$e	Hex	{ 2e 74 6d 70 }
$g	Hex	{ 2e 73 61 76 }
$h	Hex	{ 2e 75 70 64 }

Bedingung

all of them

In Worten (Heuristik)

Alle Muster aus der Regel müssen treffen.

Diese Regel im Browser testen

Legen Sie eine Datei ab, um sie mit dieser Regel und YARA-X als WebAssembly zu scannen. Nichts wird hochgeladen.

Datei hier ablegen oder klicken zum AuswählenLokal mit YARA-X gescannt. Dateien bis 200 MB.

Im Editor öffnen

Referenzen

https://media.defense.gov/2023/May/09/2003218554/-1/-1/0/JOINT_CSA_HUNTING_RU_INTEL_SNAKE_MALWARE_20230509.PDF

Lizenz & Namensnennung

Autor: Matt Suiche (Magnet Forensics)

Quell-Repository: Signature Base (Florian Roth / Nextron) @ 94a1c48d7a

Lizenz: MIT License (in den Metadaten der Regel angegeben)

“MIT”

Originalregel

Gespiegelt über YARA Forge 20260927, das Regelnamen mit der Quelle präfixiert und normalisierte Meta-Felder ergänzt.

Regel-ID: 53d2de3c-350c-5090-84bb-b6cde16a80ad

Metadaten

threat_name	Windows.Malware.Snake
scan_context	memory

Tags:MEMORY