Zum Inhalt springen
yararules.org
Menü

YARA · Signature Base (Florian Roth / Nextron)

SIGNATURE_BASE_MAL_APT_NK_WIN_Dtrack_Auto

Detects DTrack variant used by Andariel

MalwareDtrackSignature Base (Florian Roth / Nextron)Detection Rule License 1.1Kompiliert mit YARA-X
Autor
CISA.gov
Datum
2024-07-25
Geändert
2026-01-29
Score / Qualität
75 / 85

Was diese Regel erkennt

Detects DTrack variant used by Andariel

Zugehörige Malware-Familie: Dtrack.

Sie definiert 15 Muster (0 Text, 15 Hex, 0 Regex).

Zusammenfassung aus den Metadaten und der Bedingung der Regel erzeugt.

Regelquelltext

.yar herunterladen
mal-apt-nk-win-dtrack-auto.yarDetection Rule License 1.1
rule SIGNATURE_BASE_MAL_APT_NK_WIN_Dtrack_Auto : FILE
{
	meta:
		description = "Detects DTrack variant used by Andariel"
		author = "CISA.gov"
		id = "1b40c685-beba-50fa-b484-c1526577cb23"
		date = "2024-07-25"
		modified = "2026-01-29"
		reference = "https://www.cisa.gov/news-events/cybersecurity-advisories/aa24-207a"
		source_url = "https://github.com/Neo23x0/signature-base/blob/94a1c48d7ab499879287ff611dfe7f9c56376030/yara/apt_nk_andariel_jul24.yar#L567-L706"
		license_url = "https://github.com/Neo23x0/signature-base/blob/94a1c48d7ab499879287ff611dfe7f9c56376030/LICENSE"
		logic_hash = "2bd68ee6e5f35a9b80c07120beba3fe1f3ba9a9137ee15bb04bb2740381a9a44"
		score = 75
		quality = 85
		tags = "FILE"

	strings:
		$sequence_0 = { 52 8b 45 08 50 e8 ?? ?? ?? ?? 83 c4 14 8b 4d 10 51 }
		$sequence_1 = { 3a 41 01 75 23 83 85 4c f6 ff ff 02 83 85 50 f6 ff ff 02 80 bd 4a f6 ff ff 00 75 ae c7 85 44 f6 ff ff 00 00 00 00 }
		$sequence_2 = { 50 ff 15 ?? ?? ?? ?? a3 ?? ?? ?? ?? 68 ?? ?? ?? ?? e8 ?? ?? ?? ?? 83 c4 04 50 }
		$sequence_3 = { 8d 8d d4 fa ff ff 51 e8 ?? ?? ?? ?? 83 c4 08 8b 15 ?? ?? ?? ?? }
		$sequence_4 = { 88 55 f5 6a 5c 8b 45 0c 50 e8 ?? ?? ?? ?? }
		$sequence_5 = { 51 e8 ?? ?? ?? ?? 83 c4 10 8b 55 8c 52 }
		$sequence_6 = { 8b 4d 0c 51 68 ?? ?? ?? ?? 8d 95 60 ea ff ff 52 e8 ?? ?? ?? ?? }
		$sequence_7 = { 83 c0 01 89 45 f4 83 7d f4 20 7d 2c 8b 4d f8 }
		$sequence_8 = { 83 c0 01 89 85 6c f6 ff ff 8b 8d 70 f6 ff ff 8a 11 }
		$sequence_9 = { 03 55 f0 0f b6 02 0f b6 4d f7 33 c1 0f b6 55 fc 33 c2 }
		$sequence_10 = { d1 e9 89 4d f8 8b 55 18 89 55 fc c7 45 f0 00 00 00 00 }
		$sequence_11 = { 8b 4d f0 3b 4d 10 0f 8d 90 00 00 00 8b 55 08 03 55 f0 0f b6 02 }
		$sequence_12 = { 89 4d 14 8b 45 f8 c1 e0 18 8b 4d fc c1 e9 08 0b c1 }
		$sequence_13 = { 0b c1 89 45 18 8b 55 14 89 55 f8 }
		$sequence_14 = { 8b 55 14 89 55 f8 8b 45 18 89 45 fc e9 ?? ?? ?? ?? 8b e5 }

	condition:
		filesize < 1700KB and 7 of them
}

Strings (15 Muster)

BezeichnerTypWertModifikatoren
$sequence_0Hex{ 52 8b 45 08 50 e8 ?? ?? ?? ?? 83 c4 14 8b 4d 10 51 }
$sequence_1Hex{ 3a 41 01 75 23 83 85 4c f6 ff ff 02 83 85 50 f6 ff ff 02 80 bd 4a f6 ff ff 00 75 ae c7 85 44 f6 ff ff 00 00 00 00 }
$sequence_2Hex{ 50 ff 15 ?? ?? ?? ?? a3 ?? ?? ?? ?? 68 ?? ?? ?? ?? e8 ?? ?? ?? ?? 83 c4 04 50 }
$sequence_3Hex{ 8d 8d d4 fa ff ff 51 e8 ?? ?? ?? ?? 83 c4 08 8b 15 ?? ?? ?? ?? }
$sequence_4Hex{ 88 55 f5 6a 5c 8b 45 0c 50 e8 ?? ?? ?? ?? }
$sequence_5Hex{ 51 e8 ?? ?? ?? ?? 83 c4 10 8b 55 8c 52 }
$sequence_6Hex{ 8b 4d 0c 51 68 ?? ?? ?? ?? 8d 95 60 ea ff ff 52 e8 ?? ?? ?? ?? }
$sequence_7Hex{ 83 c0 01 89 45 f4 83 7d f4 20 7d 2c 8b 4d f8 }
$sequence_8Hex{ 83 c0 01 89 85 6c f6 ff ff 8b 8d 70 f6 ff ff 8a 11 }
$sequence_9Hex{ 03 55 f0 0f b6 02 0f b6 4d f7 33 c1 0f b6 55 fc 33 c2 }
$sequence_10Hex{ d1 e9 89 4d f8 8b 55 18 89 55 fc c7 45 f0 00 00 00 00 }
$sequence_11Hex{ 8b 4d f0 3b 4d 10 0f 8d 90 00 00 00 8b 55 08 03 55 f0 0f b6 02 }
$sequence_12Hex{ 89 4d 14 8b 45 f8 c1 e0 18 8b 4d fc c1 e9 08 0b c1 }
$sequence_13Hex{ 0b c1 89 45 18 8b 55 14 89 55 f8 }
$sequence_14Hex{ 8b 55 14 89 55 f8 8b 45 18 89 45 fc e9 ?? ?? ?? ?? 8b e5 }

Bedingung

filesize < 1700KB and 7 of them

In Worten (Heuristik)

  • Die Datei muss kleiner als 1700KB sein (eine günstige Grenze, die große Dateien ausschließt).
  • Mindestens 7 Muster aus der Regel müssen treffen.

Diese Regel im Browser testen

Legen Sie eine Datei ab, um sie mit dieser Regel und YARA-X als WebAssembly zu scannen. Nichts wird hochgeladen.

Datei hier ablegen oder klicken zum AuswählenLokal mit YARA-X gescannt. Dateien bis 200 MB.

Im Editor öffnen

Referenzen

Lizenz & Namensnennung

Autor: CISA.gov

Quell-Repository: Signature Base (Florian Roth / Nextron) @ 94a1c48d7a

Lizenz: Detection Rule License 1.1 (Repository-Lizenz)

Originalregel

Gespiegelt über YARA Forge 20260927, das Regelnamen mit der Quelle präfixiert und normalisierte Meta-Felder ergänzt.

Regel-ID: 1b40c685-beba-50fa-b484-c1526577cb23

Tags:FILE

Verwandte Regeln

Weitere Dtrack-Regeln