Zum Inhalt springen
yararules.org
Menü

YARA · Signature Base (Florian Roth / Nextron)

SIGNATURE_BASE_HKTL_Meterpreter_Inmemory

Detects Meterpreter in-memory

HacktoolMeterpreterSignature Base (Florian Roth / Nextron)Detection Rule License 1.1Kompiliert mit YARA-X
Autor
netbiosX, Florian Roth
Datum
2020-06-29
Geändert
2023-04-21
Score / Qualität
85 / 85

Was diese Regel erkennt

Detects Meterpreter in-memory

Zugehörige Malware-Familie: Meterpreter.

Sie definiert 7 Muster (6 Text, 1 Hex, 0 Regex).

Zusammenfassung aus den Metadaten und der Bedingung der Regel erzeugt.

Regelquelltext

.yar herunterladen
hktl-meterpreter-inmemory.yarDetection Rule License 1.1
rule SIGNATURE_BASE_HKTL_Meterpreter_Inmemory
{
	meta:
		description = "Detects Meterpreter in-memory"
		author = "netbiosX, Florian Roth"
		id = "29c3bb7e-4da8-5924-ada7-2f28d9352009"
		date = "2020-06-29"
		modified = "2023-04-21"
		reference = "https://www.reddit.com/r/purpleteamsec/comments/hjux11/meterpreter_memory_indicators_detection_tooling/"
		source_url = "https://github.com/Neo23x0/signature-base/blob/94a1c48d7ab499879287ff611dfe7f9c56376030/yara/gen_metasploit_payloads.yar#L341-L363"
		license_url = "https://github.com/Neo23x0/signature-base/blob/94a1c48d7ab499879287ff611dfe7f9c56376030/LICENSE"
		logic_hash = "4b39dbcb276842a1306205cf2e51ce86b6d2aa21353d277df15f4ea3b3d97678"
		score = 85
		quality = 85
		tags = ""

	strings:
		$sxc1 = { 6D 65 74 73 72 76 2E 64 6C 6C 00 00 52 65 66 6C 
               65 63 74 69 76 65 4C 6F 61 64 65 72 }
		$sxs1 = "metsrv.x64.dll" ascii fullword
		$ss1 = "WS2_32.dll" ascii fullword
		$ss2 = "ReflectiveLoader" ascii fullword
		$fp1 = "SentinelOne" ascii wide
		$fp2 = "fortiESNAC" ascii wide
		$fp3 = "PSNMVHookMS" ascii wide

	condition:
		(1 of ( $sx* ) or 2 of ( $s* ) ) and not 1 of ( $fp* )
}

Strings (7 Muster)

BezeichnerTypWertModifikatoren
$sxc1Hex{ 6D 65 74 73 72 76 2E 64 6C 6C 00 00 52 65 66 6C 65 63 74 69 76 65 4C 6F 61 64 65 72 }
$sxs1Text"metsrv.x64.dll"ascii fullword
$ss1Text"WS2_32.dll"ascii fullword
$ss2Text"ReflectiveLoader"ascii fullword
$fp1Text"SentinelOne"ascii wide
$fp2Text"fortiESNAC"ascii wide
$fp3Text"PSNMVHookMS"ascii wide

Bedingung

(1 of ( $sx* ) or 2 of ( $s* ) ) and not 1 of ( $fp* )

In Worten (Heuristik)

  • Mindestens 1 Muster aus ( $sx* ) müssen treffen.
  • Mindestens 2 Muster aus ( $s* ) müssen treffen.
  • Mindestens 1 Muster aus ( $fp* ) müssen treffen.

Diese Regel im Browser testen

Legen Sie eine Datei ab, um sie mit dieser Regel und YARA-X als WebAssembly zu scannen. Nichts wird hochgeladen.

Datei hier ablegen oder klicken zum AuswählenLokal mit YARA-X gescannt. Dateien bis 200 MB.

Im Editor öffnen

Referenzen

Lizenz & Namensnennung

Autor: netbiosX, Florian Roth

Quell-Repository: Signature Base (Florian Roth / Nextron) @ 94a1c48d7a

Lizenz: Detection Rule License 1.1 (Repository-Lizenz)

Originalregel

Gespiegelt über YARA Forge 20260927, das Regelnamen mit der Quelle präfixiert und normalisierte Meta-Felder ergänzt.

Regel-ID: 29c3bb7e-4da8-5924-ada7-2f28d9352009

Verwandte Regeln

Weitere Meterpreter-Regeln