Zum Inhalt springen
yararules.org
Menü

YARA · Signature Base (Florian Roth / Nextron)

SIGNATURE_BASE_Octowave_Loader_Supporting_File_03_2025

Detects supporting file used by Octowave loader containing hardcoded values

MalwareOctowaveSignature Base (Florian Roth / Nextron)Detection Rule License 1.1Kompiliert mit YARA-X
Autor
Jai Minton (@CyberRaiju) - HuntressLabs
Datum
2025-03-19
Geändert
2025-03-21
Score / Qualität
75 / 85

Was diese Regel erkennt

Detects supporting file used by Octowave loader containing hardcoded values

Zugehörige Malware-Familie: Octowave.

Sie definiert 3 Muster (2 Text, 1 Hex, 0 Regex).

Zusammenfassung aus den Metadaten und der Bedingung der Regel erzeugt.

Regelquelltext

.yar herunterladen
octowave-loader-supporting-file-03-2025.yarDetection Rule License 1.1
rule SIGNATURE_BASE_Octowave_Loader_Supporting_File_03_2025 : FILE
{
	meta:
		description = "Detects supporting file used by Octowave loader containing hardcoded values"
		author = "Jai Minton (@CyberRaiju) - HuntressLabs"
		id = "2c81c8b8-4b4d-55c9-9285-556e8b5303bd"
		date = "2025-03-19"
		modified = "2025-03-21"
		reference = "https://x.com/CyberRaiju/status/1893450184224362946?t=u0X6ST2Qgnrf-ujjphGOSg&s=19"
		source_url = "https://github.com/Neo23x0/signature-base/blob/94a1c48d7ab499879287ff611dfe7f9c56376030/yara/mal_octowave_loader_mar25.yar#L287-L312"
		license_url = "https://github.com/Neo23x0/signature-base/blob/94a1c48d7ab499879287ff611dfe7f9c56376030/LICENSE"
		hash = "c4cbaa7e4521fa0ed9cc634c5e2bacbf41f46842ca4526b7904d98843a7e9db9"
		hash = "f5cfb2e634539d5dc7ffe202ffdc422ef7457100401ba1fbc21dd05558719865"
		hash = "56f1967f7177c166386d864807cdf03d5bbd3f118a285ce67ea226d02e5cf58c"
		hash = "11ee5ad8a81ae85e5b7ddf93adf6edd20de8460c755bf0426dfcbc7f658d7e85"
		hash = "d218b65493e4d9d85cbc2f7b608f4f7e501708014bc04af27d33d995aa54a703"
		hash = "0c112f9dfe27211b357c74f358d9c144ea10cc0d92d6420b8742b72a65562c5a"
		logic_hash = "42abd38e704a17ef81b423829c2dd356749873a5d036e43cc2746debfb3f5434"
		score = 75
		quality = 85
		tags = "FILE"
		license = "Detection Rule License 1.1 https://github.com/Neo23x0/signature-base/blob/master/LICENSE"

	strings:
		$unique_key = {1D 1C 1F 1E 01 01 03 02 05 04 07 06 09 D4 0E 0A 0D 0C 0F 0E 31 30 31 32 35 34 36 36 39 38 DC 3F 3D 3C 3E}
		$unique_string = "MLONqpsrutwvyx"
		$unique_string2 = "A@CBEDGFIHKJMLONqpsrutwvyx"

	condition:
		uint16( 0 ) != 0x5a4d and filesize < 10000KB and all of them
}

Strings (3 Muster)

BezeichnerTypWertModifikatoren
$unique_keyHex{1D 1C 1F 1E 01 01 03 02 05 04 07 06 09 D4 0E 0A 0D 0C 0F 0E 31 30 31 32 35 34 36 36 39 38 DC 3F 3D 3C 3E}
$unique_stringText"MLONqpsrutwvyx"
$unique_string2Text"A@CBEDGFIHKJMLONqpsrutwvyx"

Bedingung

uint16( 0 ) != 0x5a4d and filesize < 10000KB and all of them

In Worten (Heuristik)

  • Die Datei muss kleiner als 10000KB sein (eine günstige Grenze, die große Dateien ausschließt).
  • Alle Muster aus der Regel müssen treffen.

Diese Regel im Browser testen

Legen Sie eine Datei ab, um sie mit dieser Regel und YARA-X als WebAssembly zu scannen. Nichts wird hochgeladen.

Datei hier ablegen oder klicken zum AuswählenLokal mit YARA-X gescannt. Dateien bis 200 MB.

Im Editor öffnen

Referenzen

Proben-Hashes

Hashes der Proben, die der Autor in den Metadaten der Regel nennt (in Ihrer Threat-Intelligence-Plattform nachschlagen).

  • c4cbaa7e4521fa0ed9cc634c5e2bacbf41f46842ca4526b7904d98843a7e9db9
  • f5cfb2e634539d5dc7ffe202ffdc422ef7457100401ba1fbc21dd05558719865
  • 56f1967f7177c166386d864807cdf03d5bbd3f118a285ce67ea226d02e5cf58c
  • 11ee5ad8a81ae85e5b7ddf93adf6edd20de8460c755bf0426dfcbc7f658d7e85
  • d218b65493e4d9d85cbc2f7b608f4f7e501708014bc04af27d33d995aa54a703
  • 0c112f9dfe27211b357c74f358d9c144ea10cc0d92d6420b8742b72a65562c5a

Lizenz & Namensnennung

Autor: Jai Minton (@CyberRaiju) - HuntressLabs

Quell-Repository: Signature Base (Florian Roth / Nextron) @ 94a1c48d7a

Lizenz: Detection Rule License 1.1 (in den Metadaten der Regel angegeben)

“Detection Rule License 1.1 https://github.com/Neo23x0/signature-base/blob/master/LICENSE”

Originalregel

Gespiegelt über YARA Forge 20260927, das Regelnamen mit der Quelle präfixiert und normalisierte Meta-Felder ergänzt.

Regel-ID: 2c81c8b8-4b4d-55c9-9285-556e8b5303bd

Tags:FILE

Verwandte Regeln

Weitere Octowave-Regeln