Zum Inhalt springen
yararules.org
Menü

YARA · Signature Base (Florian Roth / Nextron)

SIGNATURE_BASE_HKTL_Cobaltstrike_Beacon_XOR_Strings

Identifies XOR'd strings used in Cobalt Strike Beacon DLL

HacktoolCobalt StrikeSignature Base (Florian Roth / Nextron)Detection Rule License 1.1Kompiliert mit YARA-X
Autor
Elastic
Datum
2021-03-16
Geändert
2026-05-26
Score / Qualität
75 / 85

Was diese Regel erkennt

Identifies XOR'd strings used in Cobalt Strike Beacon DLL

Zugehörige Malware-Familie: Cobalt Strike.

Sie definiert 5 Muster (5 Text, 0 Hex, 0 Regex).

Zusammenfassung aus den Metadaten und der Bedingung der Regel erzeugt.

Regelquelltext

.yar herunterladen
hktl-cobaltstrike-beacon-xor-strings.yarDetection Rule License 1.1
rule SIGNATURE_BASE_HKTL_Cobaltstrike_Beacon_XOR_Strings
{
	meta:
		description = "Identifies XOR'd strings used in Cobalt Strike Beacon DLL"
		author = "Elastic"
		id = "359160a8-cf1c-58a8-bf7f-c09a8d661308"
		date = "2021-03-16"
		modified = "2026-05-26"
		reference = "https://www.elastic.co/blog/detecting-cobalt-strike-with-memory-signatures"
		source_url = "https://github.com/Neo23x0/signature-base/blob/94a1c48d7ab499879287ff611dfe7f9c56376030/yara/apt_cobaltstrike.yar#L69-L90"
		license_url = "https://github.com/Neo23x0/signature-base/blob/94a1c48d7ab499879287ff611dfe7f9c56376030/LICENSE"
		logic_hash = "214f0400863783ab4294d8acc820cf00ab9941d193b2b843f877207b9912d799"
		score = 75
		quality = 85
		tags = ""
		xor_s1 = "%02d/%02d/%02d %02d:%02d:%02d"
		xor_s2 = "Started service %s on %s"
		xor_s3 = "%s as %s\\%s: %d"

	strings:
		$s1 = "%02d/%02d/%02d %02d:%02d:%02d" xor(0x01-0xff)
		$s2 = "Started service %s on %s" xor(0x01-0xff)
		$s3 = "%s as %s\\%s: %d" xor(0x01-0xff)
		$fp1 = "MalwareRemovalTool" ascii wide
		$fp2 = "advanced malware removal tool" ascii wide

	condition:
		2 of ( $s* ) and not 1 of ( $fp* )
}

Strings (5 Muster)

BezeichnerTypWertModifikatoren
$s1Text"%02d/%02d/%02d %02d:%02d:%02d"xor(0x01-0xff)
$s2Text"Started service %s on %s"xor(0x01-0xff)
$s3Text"%s as %s\\%s: %d"xor(0x01-0xff)
$fp1Text"MalwareRemovalTool"ascii wide
$fp2Text"advanced malware removal tool"ascii wide

Bedingung

2 of ( $s* ) and not 1 of ( $fp* )

In Worten (Heuristik)

  • Mindestens 2 Muster aus ( $s* ) müssen treffen.
  • Mindestens 1 Muster aus ( $fp* ) müssen treffen.

Diese Regel im Browser testen

Legen Sie eine Datei ab, um sie mit dieser Regel und YARA-X als WebAssembly zu scannen. Nichts wird hochgeladen.

Datei hier ablegen oder klicken zum AuswählenLokal mit YARA-X gescannt. Dateien bis 200 MB.

Im Editor öffnen

Referenzen

Lizenz & Namensnennung

Autor: Elastic

Quell-Repository: Signature Base (Florian Roth / Nextron) @ 94a1c48d7a

Lizenz: Detection Rule License 1.1 (Repository-Lizenz)

Originalregel

Gespiegelt über YARA Forge 20260927, das Regelnamen mit der Quelle präfixiert und normalisierte Meta-Felder ergänzt.

Regel-ID: 359160a8-cf1c-58a8-bf7f-c09a8d661308

Metadaten

xor_s1%02d/%02d/%02d %02d:%02d:%02d
xor_s2Started service %s on %s
xor_s3%s as %s\%s: %d

Verwandte Regeln

Weitere Cobalt Strike-Regeln