Zum Inhalt springen
yararules.org
Menü

YARA · Signature Base (Florian Roth / Nextron)

SIGNATURE_BASE_HKTL_FRP_Apr20_1

Detects FRP fast reverse proxy tool often used by threat groups

HacktoolSignature Base (Florian Roth / Nextron)Detection Rule License 1.1Kompiliert mit YARA-X
Autor
Florian Roth (Nextron Systems)
Datum
2020-04-07
Geändert
2022-11-03
Score / Qualität
70 / 85

Was diese Regel erkennt

Detects FRP fast reverse proxy tool often used by threat groups

Sie definiert 5 Muster (5 Text, 0 Hex, 0 Regex).

Zusammenfassung aus den Metadaten und der Bedingung der Regel erzeugt.

Regelquelltext

.yar herunterladen
hktl-frp-apr20-1.yarDetection Rule License 1.1
rule SIGNATURE_BASE_HKTL_FRP_Apr20_1
{
	meta:
		description = "Detects FRP fast reverse proxy tool often used by threat groups"
		author = "Florian Roth (Nextron Systems)"
		id = "55483832-0e0b-5c28-8be5-dbd14ddb50e3"
		date = "2020-04-07"
		modified = "2022-11-03"
		reference = "https://github.com/fatedier/frp"
		source_url = "https://github.com/Neo23x0/signature-base/blob/94a1c48d7ab499879287ff611dfe7f9c56376030/yara/gen_frp_proxy.yar#L2-L22"
		license_url = "https://github.com/Neo23x0/signature-base/blob/94a1c48d7ab499879287ff611dfe7f9c56376030/LICENSE"
		hash = "05537c1c4e29db76a24320fb7cb80b189860389cdb16a9dbeb0c8d30d9b37006"
		hash = "08c685c8febb5385f7548c2a64a27bae7123a937c5af958ebc08a3accb29978d"
		logic_hash = "21f91fd99aed8b62d804504889c41ca77567fd345cf4ea0ef00161eefa9324a7"
		score = 70
		quality = 85
		tags = ""

	strings:
		$x1 = "frp/vendor/github.com/spf13/" ascii
		$x2 = "github.com/fatedier/frp/vendor/" ascii
		$fpg2 = "<html"
		$fpg3 = "<HTML"
		$fpg6 = "<?xml"

	condition:
		1 of ( $x* ) and not 1 of ( $fp* )
}

Strings (5 Muster)

BezeichnerTypWertModifikatoren
$x1Text"frp/vendor/github.com/spf13/"ascii
$x2Text"github.com/fatedier/frp/vendor/"ascii
$fpg2Text"<html"
$fpg3Text"<HTML"
$fpg6Text"<?xml"

Bedingung

1 of ( $x* ) and not 1 of ( $fp* )

In Worten (Heuristik)

  • Mindestens 1 Muster aus ( $x* ) müssen treffen.
  • Mindestens 1 Muster aus ( $fp* ) müssen treffen.

Diese Regel im Browser testen

Legen Sie eine Datei ab, um sie mit dieser Regel und YARA-X als WebAssembly zu scannen. Nichts wird hochgeladen.

Datei hier ablegen oder klicken zum AuswählenLokal mit YARA-X gescannt. Dateien bis 200 MB.

Im Editor öffnen

Referenzen

Proben-Hashes

Hashes der Proben, die der Autor in den Metadaten der Regel nennt (in Ihrer Threat-Intelligence-Plattform nachschlagen).

  • 05537c1c4e29db76a24320fb7cb80b189860389cdb16a9dbeb0c8d30d9b37006
  • 08c685c8febb5385f7548c2a64a27bae7123a937c5af958ebc08a3accb29978d

Lizenz & Namensnennung

Autor: Florian Roth (Nextron Systems)

Quell-Repository: Signature Base (Florian Roth / Nextron) @ 94a1c48d7a

Lizenz: Detection Rule License 1.1 (Repository-Lizenz)

Originalregel

Gespiegelt über YARA Forge 20260927, das Regelnamen mit der Quelle präfixiert und normalisierte Meta-Felder ergänzt.

Regel-ID: 55483832-0e0b-5c28-8be5-dbd14ddb50e3

Verwandte Regeln