YARA · Signature Base (Florian Roth / Nextron)

SIGNATURE_BASE_MAL_DLL_Chrome_App_Bound_Encryption_Decryption_May25

Detects a DLL used to decrypt App-Bound Encrypted (ABE) cookies, passwords and payment methods from Chromium-based browsers. Seen being used by Katz stealer

MalwareSignature Base (Florian Roth / Nextron)Detection Rule License 1.1Kompiliert mit YARA-X

Autor: MAlGamy
Datum: 2025-05-19
Geändert: 2026-05-15
Score / Qualität: 80 / 85

Was diese Regel erkennt

Detects a DLL used to decrypt App-Bound Encrypted (ABE) cookies, passwords and payment methods from Chromium-based browsers. Seen being used by Katz stealer

Ziele: Windows-PE.

Sie definiert 4 Muster (3 Text, 1 Hex, 0 Regex).

Zusammenfassung aus den Metadaten und der Bedingung der Regel erzeugt.

Regelquelltext

.yar herunterladen

mal-dll-chrome-app-bound-encryption-decryption-may25.yarDetection Rule License 1.1

rule SIGNATURE_BASE_MAL_DLL_Chrome_App_Bound_Encryption_Decryption_May25 : FILE
{
	meta:
		description = "Detects a DLL used to decrypt App-Bound Encrypted (ABE) cookies, passwords and payment methods from Chromium-based browsers. Seen being used by Katz stealer"
		author = "MAlGamy"
		id = "ee1e2584-7104-506f-93a9-89e97cf39a93"
		date = "2025-05-19"
		modified = "2026-05-15"
		reference = "Internal Research"
		source_url = "https://github.com/Neo23x0/signature-base/blob/94a1c48d7ab499879287ff611dfe7f9c56376030/yara/mal_katz_stealer.yar#L24-L43"
		license_url = "https://github.com/Neo23x0/signature-base/blob/94a1c48d7ab499879287ff611dfe7f9c56376030/LICENSE"
		hash = "6dc8e99da68b703e86fa90a8794add87614f254f804a8d5d65927e0676107a9d"
		logic_hash = "d5488728a3ee8f2f59ed9798b80d516f7f131e39b3d5099ad5168ffc8ff22718"
		score = 80
		quality = 85
		tags = "FILE"

	strings:
		$s1 = "Failed to set proxy blanket." ascii
		$s2 = "Decryption failed. Last error:" ascii
		$s3 = "\\Google\\Chrome\\User Data\\Local State" ascii
		$op1 = {48 39 F3 74 ?? 4C 89 E2 48 89 E9 E8 ?? ?? ?? ?? 48 89 C1 48 8B 00 B2 ?? 48 8B 40 ?? 48 C7 44 01 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 0F B6 13 48 89 C1 E8 ?? ?? ?? ?? 48 FF C3 EB ?? 48 8D 54 24 ?? 48 89 F9 E8 ?? ?? ?? ?? 48 89 E9 E8 ?? ?? ?? ?? 48 89 F8 48 81 C4}

	condition:
		uint16( 0 ) == 0x5a4d and filesize < 2MB and $op1 and 1 of ( $s* )
}

Strings (4 Muster)

Bezeichner	Typ	Wert	Modifikatoren
$s1	Text	"Failed to set proxy blanket."	ascii
$s2	Text	"Decryption failed. Last error:"	ascii
$s3	Text	"\\Google\\Chrome\\User Data\\Local State"	ascii
$op1	Hex	{48 39 F3 74 ?? 4C 89 E2 48 89 E9 E8 ?? ?? ?? ?? 48 89 C1 48 8B 00 B2 ?? 48 8B 40 ?? 48 C7 44 01 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 0F B6 13 48 89 C1 E8 ?? ?? ?? ?? …

Bedingung

uint16( 0 ) == 0x5a4d and filesize < 2MB and $op1 and 1 of ( $s* )

In Worten (Heuristik)

Die Datei muss mit „MZ“ beginnen — eine Windows-Programmdatei (PE).
Die Datei muss kleiner als 2MB sein (eine günstige Grenze, die große Dateien ausschließt).
Mindestens 1 Muster aus ( $s* ) müssen treffen.
Muster $op1 muss vorhanden sein.

Diese Regel im Browser testen

Legen Sie eine Datei ab, um sie mit dieser Regel und YARA-X als WebAssembly zu scannen. Nichts wird hochgeladen.

Datei hier ablegen oder klicken zum AuswählenLokal mit YARA-X gescannt. Dateien bis 200 MB.

Im Editor öffnen

Proben-Hashes

Hashes der Proben, die der Autor in den Metadaten der Regel nennt (in Ihrer Threat-Intelligence-Plattform nachschlagen).

6dc8e99da68b703e86fa90a8794add87614f254f804a8d5d65927e0676107a9d

Lizenz & Namensnennung

Autor: MAlGamy

Quell-Repository: Signature Base (Florian Roth / Nextron) @ 94a1c48d7a

Lizenz: Detection Rule License 1.1 (Repository-Lizenz)

Originalregel

Gespiegelt über YARA Forge 20260927, das Regelnamen mit der Quelle präfixiert und normalisierte Meta-Felder ergänzt.

Regel-ID: ee1e2584-7104-506f-93a9-89e97cf39a93

Tags:FILE