YARA · Signature Base (Florian Roth / Nextron)
SIGNATURE_BASE_APT_UA_Hermetic_Wiper_Feb22_1
Detects Hermetic Wiper malware
APT / AkteurHermeticwiperSignature Base (Florian Roth / Nextron)Detection Rule License 1.1Kompiliert mit YARA-X
- Autor
- Florian Roth (Nextron Systems)
- Datum
- 2022-02-24
- Geändert
- 2023-12-05
- Score / Qualität
- 75 / 85
Was diese Regel erkennt
Detects Hermetic Wiper malware
Zugehörige Malware-Familie: Hermeticwiper.
Ziele: Windows-PE.
Sie definiert 8 Muster (4 Text, 4 Hex, 0 Regex).
Zusammenfassung aus den Metadaten und der Bedingung der Regel erzeugt.
Regelquelltext
apt-ua-hermetic-wiper-feb22-1.yarDetection Rule License 1.1
rule SIGNATURE_BASE_APT_UA_Hermetic_Wiper_Feb22_1 : FILE
{
meta:
= "Detects Hermetic Wiper malware"
= "Florian Roth (Nextron Systems)"
= "2cbe4a69-e31a-5f5f-ab1a-9d71d16fb30f"
= "2022-02-24"
= "2023-12-05"
= "https://www.sentinelone.com/labs/hermetic-wiper-ukraine-under-attack/"
= "https://github.com/Neo23x0/signature-base/blob/94a1c48d7ab499879287ff611dfe7f9c56376030/yara/apt_ua_hermetic_wiper.yar#L2-L38"
= "https://github.com/Neo23x0/signature-base/blob/94a1c48d7ab499879287ff611dfe7f9c56376030/LICENSE"
= "0385eeab00e946a302b24a91dea4187c1210597b8e17cd9e2230450f5ece21da"
= "3c557727953a8f6b4788984464fb77741b821991acbf5e746aebdd02615b1767"
= "2c10b2ec0b995b88c27d141d6f7b14d6b8177c52818687e4ff8e6ecf53adf5bf"
= "1bc44eef75779e3ca1eefb8ff5a64807dbc942b1e4a2672d77b9f6928d292591"
= "1cf124f7533a060da8aff1a18f64a94b183502e58ffdfca012d72d99d30225ba"
= 75
= 85
= "FILE"
strings:
$xc1 = { 00 5C 00 5C 00 2E 00 5C 00 50 00 68 00 79 00 73
00 69 00 63 00 61 00 6C 00 44 00 72 00 69 00 76
00 65 00 25 00 75 00 00 00 5C 00 5C 00 2E 00 5C
00 45 00 50 00 4D 00 4E 00 54 00 44 00 52 00 56
00 5C 00 25 00 75 00 00 00 5C 00 5C 00 2E 00 5C
00 00 00 00 00 25 00 73 00 25 00 2E 00 32 00 73
00 00 00 00 00 24 00 42 00 69 00 74 00 6D 00 61
00 70 00 00 00 24 00 4C 00 6F 00 67 00 46 00 69
00 6C 00 65 }
$sc1 = { 00 44 00 72 00 69 00 76 00 65 00 72 00 73 00 00
00 64 00 72 00 76 00 00 00 53 00 79 00 73 00 74
00 65 00 6D 00 33 00 32 }
$s1 = "\\\\?\\C:\\Windows\\System32\\winevt\\Logs" wide fullword
$s2 = "\\\\.\\EPMNTDRV\\%u" wide fullword
$s3 = "DRV_XP_X64" wide fullword
$s4 = "%ws%.2ws" wide fullword
$op1 = { 8b 7e 08 0f 57 c0 8b 46 0c 83 ef 01 66 0f 13 44 24 20 83 d8 00 89 44 24 18 0f 88 3b 01 00 00 }
$op2 = { 13 fa 8b 55 f4 4e 3b f3 7f e6 8a 45 0f 01 4d f0 0f 57 c0 }
condition:
( uint16( 0 ) == 0x5a53 or uint16( 0 ) == 0x5a4d ) and filesize < 400KB and ( 1 of ( $x* ) or 3 of them )
}
Strings (8 Muster)
| Bezeichner | Typ | Wert | Modifikatoren |
|---|---|---|---|
| $xc1 | Hex | { 00 5C 00 5C 00 2E 00 5C 00 50 00 68 00 79 00 73 00 69 00 63 00 61 00 6C 00 44 00 72 00 69 00 76 00 65 00 25 00 75 00 00 00 5C 00 … | |
| $sc1 | Hex | { 00 44 00 72 00 69 00 76 00 65 00 72 00 73 00 00 00 64 00 72 00 76 00 00 00 53 00 79 00 73 00 74 00 65 00 6D 00 33 00 32 } | |
| $s1 | Text | "\\\\?\\C:\\Windows\\System32\\winevt\\Logs" | wide fullword |
| $s2 | Text | "\\\\.\\EPMNTDRV\\%u" | wide fullword |
| $s3 | Text | "DRV_XP_X64" | wide fullword |
| $s4 | Text | "%ws%.2ws" | wide fullword |
| $op1 | Hex | { 8b 7e 08 0f 57 c0 8b 46 0c 83 ef 01 66 0f 13 44 24 20 83 d8 00 89 44 24 18 0f 88 3b 01 00 00 } | |
| $op2 | Hex | { 13 fa 8b 55 f4 4e 3b f3 7f e6 8a 45 0f 01 4d f0 0f 57 c0 } |
Bedingung
( uint16( 0 ) == 0x5a53 or uint16( 0 ) == 0x5a4d ) and filesize < 400KB and ( 1 of ( $x* ) or 3 of them )In Worten (Heuristik)
- Die Datei muss mit „MZ“ beginnen — eine Windows-Programmdatei (PE).
- Die Datei muss kleiner als 400KB sein (eine günstige Grenze, die große Dateien ausschließt).
- Mindestens 1 Muster aus ( $x* ) müssen treffen.
- Mindestens 3 Muster aus der Regel müssen treffen.
Diese Regel im Browser testen
Legen Sie eine Datei ab, um sie mit dieser Regel und YARA-X als WebAssembly zu scannen. Nichts wird hochgeladen.
Datei hier ablegen oder klicken zum AuswählenLokal mit YARA-X gescannt. Dateien bis 200 MB.
Proben-Hashes
Hashes der Proben, die der Autor in den Metadaten der Regel nennt (in Ihrer Threat-Intelligence-Plattform nachschlagen).
- 0385eeab00e946a302b24a91dea4187c1210597b8e17cd9e2230450f5ece21da
- 3c557727953a8f6b4788984464fb77741b821991acbf5e746aebdd02615b1767
- 2c10b2ec0b995b88c27d141d6f7b14d6b8177c52818687e4ff8e6ecf53adf5bf
- 1bc44eef75779e3ca1eefb8ff5a64807dbc942b1e4a2672d77b9f6928d292591
Lizenz & Namensnennung
Autor: Florian Roth (Nextron Systems)
Quell-Repository: Signature Base (Florian Roth / Nextron) @ 94a1c48d7a
Lizenz: Detection Rule License 1.1 (Repository-Lizenz)
Gespiegelt über YARA Forge 20260927, das Regelnamen mit der Quelle präfixiert und normalisierte Meta-Felder ergänzt.
Regel-ID: 2cbe4a69-e31a-5f5f-ab1a-9d71d16fb30f
Tags:FILE
Verwandte Regeln
- APT / AkteurSignature Base (Florian Roth / Nextron)· Florian Roth (Nextron Systems)· 2022-02-25
- APT / AkteurSignature Base (Florian Roth / Nextron)· Florian Roth (Nextron Systems)· 2022-02-25
- MalwareMalpedia signator rules· Felix Bilstein - yara-signator at cocacoding dot com· 2026-05-04
- MalwareTrellix Advanced Research Center· cb @ Trellix ATR· 2022-02-24
- MalwareSEKOIA.IO Community· Sekoia.io· 2022-02-24
- CLUSTER25_UNC1222_Hermeticwiper_23433_10001Nur MetadatenMalwareCluster25 (via Open-Source-YARA-rules)· Cluster25· 2022-02-23
- APT / AkteurSignature Base (Florian Roth / Nextron)· Florian Roth (Nextron Systems)· 2022-01-16
- APT / AkteurSignature Base (Florian Roth / Nextron)· Florian Roth (Nextron Systems)· 2022-01-16