YARA · Signature Base (Florian Roth / Nextron)

SIGNATURE_BASE_MAL_NET_Katz_Stealer_Loader_May25

Detects .NET based Katz stealer loader

MalwareKatz StealerSignature Base (Florian Roth / Nextron)Detection Rule License 1.1Kompiliert mit YARA-X

Autor: Jonathan Peters (cod3nym)
Datum: 2025-05-21
Geändert: 2026-05-15
Score / Qualität: 80 / 85

Was diese Regel erkennt

Detects .NET based Katz stealer loader

Zugehörige Malware-Familie: Katz Stealer.

Sie definiert 7 Muster (6 Text, 1 Hex, 0 Regex).

Zusammenfassung aus den Metadaten und der Bedingung der Regel erzeugt.

Regelquelltext

.yar herunterladen

mal-net-katz-stealer-loader-may25.yarDetection Rule License 1.1

rule SIGNATURE_BASE_MAL_NET_Katz_Stealer_Loader_May25
{
	meta:
		description = "Detects .NET based Katz stealer loader"
		author = "Jonathan Peters (cod3nym)"
		id = "c3d33818-66a1-51d9-9bcd-d8d255f96881"
		date = "2025-05-21"
		modified = "2026-05-15"
		reference = "Internal Research"
		source_url = "https://github.com/Neo23x0/signature-base/blob/94a1c48d7ab499879287ff611dfe7f9c56376030/yara/mal_katz_stealer.yar#L68-L88"
		license_url = "https://github.com/Neo23x0/signature-base/blob/94a1c48d7ab499879287ff611dfe7f9c56376030/LICENSE"
		hash = "0df13fd42fb4a4374981474ea87895a3830eddcc7f3bd494e76acd604c4004f7"
		logic_hash = "1922520d8c34660a0afff2f552ef0d1c6ec093fb10a00816e0216f574b686221"
		score = 80
		quality = 85
		tags = ""

	strings:
		$x = "ExecutarMetodoVAI" ascii
		$s1 = "VirtualMachineDetector" ascii
		$s2 = "Wow64SetThreadContext_API" ascii
		$s3 = "nomedoarquivo" ascii
		$s4 = { 65 78 74 65 6E C3 A7 61 6F 00 }
		$s5 = "payloadBuffer" ascii
		$s6 = "caminhovbs" ascii

	condition:
		3 of ( $s* ) or $x
}

Strings (7 Muster)

Bezeichner	Typ	Wert	Modifikatoren
$x	Text	"ExecutarMetodoVAI"	ascii
$s1	Text	"VirtualMachineDetector"	ascii
$s2	Text	"Wow64SetThreadContext_API"	ascii
$s3	Text	"nomedoarquivo"	ascii
$s4	Hex	{ 65 78 74 65 6E C3 A7 61 6F 00 }
$s5	Text	"payloadBuffer"	ascii
$s6	Text	"caminhovbs"	ascii

Bedingung

3 of ( $s* ) or $x

In Worten (Heuristik)

Mindestens 3 Muster aus ( $s* ) müssen treffen.
Muster $x muss vorhanden sein.

Diese Regel im Browser testen

Legen Sie eine Datei ab, um sie mit dieser Regel und YARA-X als WebAssembly zu scannen. Nichts wird hochgeladen.

Datei hier ablegen oder klicken zum AuswählenLokal mit YARA-X gescannt. Dateien bis 200 MB.

Im Editor öffnen

Proben-Hashes

Hashes der Proben, die der Autor in den Metadaten der Regel nennt (in Ihrer Threat-Intelligence-Plattform nachschlagen).

0df13fd42fb4a4374981474ea87895a3830eddcc7f3bd494e76acd604c4004f7

Lizenz & Namensnennung

Autor: Jonathan Peters (cod3nym)

Quell-Repository: Signature Base (Florian Roth / Nextron) @ 94a1c48d7a

Lizenz: Detection Rule License 1.1 (Repository-Lizenz)

Originalregel

Gespiegelt über YARA Forge 20260927, das Regelnamen mit der Quelle präfixiert und normalisierte Meta-Felder ergänzt.

Regel-ID: c3d33818-66a1-51d9-9bcd-d8d255f96881

SIGNATURE_BASE_MAL_Katz_Stealer_May25
MalwareSignature Base (Florian Roth / Nextron)· MalGamy (Nextron Systems)· 2025-05-16
MALPEDIA_Win_Katz_Stealer_Auto
MalwareMalpedia signator rules· Felix Bilstein - yara-signator at cocacoding dot com· 2026-05-04
SIGNATURE_BASE_MAL_NET_UAC_Bypass_May25
MalwareSignature Base (Florian Roth / Nextron)· Jonathan Peters (cod3nym)· 2025-05-21
SIGNATURE_BASE_APT_Virtualizor_Compromise_Payload_Aug26
APT / AkteurSignature Base (Florian Roth / Nextron)· Jonathan Peters (cod3nym)· 2026-08-31
SIGNATURE_BASE_HKTL_Redsun_Privilege_Escalation_Apr26
HacktoolSignature Base (Florian Roth / Nextron)· Jonathan Peters (cod3nym)· 2026-04-16
SIGNATURE_BASE_SUSP_Email_Redirection_Spoofing_Feb25
Verdächtig / HuntingSignature Base (Florian Roth / Nextron)· Jonathan Peters (cod3nym)· 2025-02-20

Weitere Katz Stealer-Regeln