Zum Inhalt springen
yararules.org
Menü

YARA · Signature Base (Florian Roth / Nextron)

SIGNATURE_BASE_SUSP_Doc_RTF_Ole2Link_Jun22

Detects a suspicious pattern in RTF files which downloads external resources

Verdächtig / HuntingSignature Base (Florian Roth / Nextron)Detection Rule License 1.1Kompiliert mit YARA-X
Autor
Christian Burkard
Datum
2022-06-01
Geändert
2026-05-15
Score / Qualität
75 / 85

Was diese Regel erkennt

Detects a suspicious pattern in RTF files which downloads external resources

Sie definiert 11 Muster (11 Text, 0 Hex, 0 Regex).

Zusammenfassung aus den Metadaten und der Bedingung der Regel erzeugt.

Regelquelltext

.yar herunterladen
susp-doc-rtf-ole2link-jun22.yarDetection Rule License 1.1
rule SIGNATURE_BASE_SUSP_Doc_RTF_Ole2Link_Jun22 : FILE
{
	meta:
		description = "Detects a suspicious pattern in RTF files which downloads external resources"
		author = "Christian Burkard"
		id = "e9c83d58-6214-51d5-882a-4bd2ed6acc9a"
		date = "2022-06-01"
		modified = "2026-05-15"
		reference = "Internal Research"
		source_url = "https://github.com/Neo23x0/signature-base/blob/94a1c48d7ab499879287ff611dfe7f9c56376030/yara/gen_doc_follina.yar#L101-L132"
		license_url = "https://github.com/Neo23x0/signature-base/blob/94a1c48d7ab499879287ff611dfe7f9c56376030/LICENSE"
		hash = "4abc20e5130b59639e20bd6b8ad759af18eb284f46e99a5cc6b4f16f09456a68"
		logic_hash = "36cb711399197c694ac4fa4fd49cd5d587a830e152a138c81851b8e16301803d"
		score = 75
		quality = 85
		tags = "FILE"

	strings:
		$sa = "\\objdata" ascii nocase
		$sb1 = "4f4c45324c696e6b" ascii
		$sb2 = "4F4C45324C696E6B" ascii
		$sc1 = "d0cf11e0a1b11ae1" ascii
		$sc2 = "D0CF11E0A1B11AE1" ascii
		$x1 = "68007400740070003a002f002f00" ascii
		$x2 = "68007400740070003A002F002F00" ascii
		$x3 = "680074007400700073003a002f002f00" ascii
		$x4 = "680074007400700073003A002F002F00" ascii
		$x5 = "6600740070003a002f002f00" ascii
		$x6 = "6600740070003A002F002F00" ascii

	condition:
		( uint32be( 0 ) == 0x7B5C7274 or uint32be( 0 ) == 0x7B5C2A5C ) and $sa and 1 of ( $sb* ) and 1 of ( $sc* ) and 1 of ( $x* )
}

Strings (11 Muster)

BezeichnerTypWertModifikatoren
$saText"\\objdata"ascii nocase
$sb1Text"4f4c45324c696e6b"ascii
$sb2Text"4F4C45324C696E6B"ascii
$sc1Text"d0cf11e0a1b11ae1"ascii
$sc2Text"D0CF11E0A1B11AE1"ascii
$x1Text"68007400740070003a002f002f00"ascii
$x2Text"68007400740070003A002F002F00"ascii
$x3Text"680074007400700073003a002f002f00"ascii
$x4Text"680074007400700073003A002F002F00"ascii
$x5Text"6600740070003a002f002f00"ascii
$x6Text"6600740070003A002F002F00"ascii

Bedingung

( uint32be( 0 ) == 0x7B5C7274 or uint32be( 0 ) == 0x7B5C2A5C ) and $sa and 1 of ( $sb* ) and 1 of ( $sc* ) and 1 of ( $x* )

In Worten (Heuristik)

  • Die Datei muss mit „{\rt“ beginnen — ein RTF-Dokument.
  • Mindestens 1 Muster aus ( $sb* ) müssen treffen.
  • Mindestens 1 Muster aus ( $sc* ) müssen treffen.
  • Mindestens 1 Muster aus ( $x* ) müssen treffen.
  • Muster $sa muss vorhanden sein.

Diese Regel im Browser testen

Legen Sie eine Datei ab, um sie mit dieser Regel und YARA-X als WebAssembly zu scannen. Nichts wird hochgeladen.

Datei hier ablegen oder klicken zum AuswählenLokal mit YARA-X gescannt. Dateien bis 200 MB.

Im Editor öffnen

Proben-Hashes

Hashes der Proben, die der Autor in den Metadaten der Regel nennt (in Ihrer Threat-Intelligence-Plattform nachschlagen).

  • 4abc20e5130b59639e20bd6b8ad759af18eb284f46e99a5cc6b4f16f09456a68

Lizenz & Namensnennung

Autor: Christian Burkard

Quell-Repository: Signature Base (Florian Roth / Nextron) @ 94a1c48d7a

Lizenz: Detection Rule License 1.1 (Repository-Lizenz)

Originalregel

Gespiegelt über YARA Forge 20260927, das Regelnamen mit der Quelle präfixiert und normalisierte Meta-Felder ergänzt.

Regel-ID: e9c83d58-6214-51d5-882a-4bd2ed6acc9a

Tags:FILE

Verwandte Regeln