Zum Inhalt springen
yararules.org
Menü

YARA · Signature Base (Florian Roth / Nextron)

SIGNATURE_BASE_SUSP_Katz_Log_May25

Detects log file that contains system reconnaissance data, seen being generated by Katz stealer

Verdächtig / HuntingSignature Base (Florian Roth / Nextron)Detection Rule License 1.1Kompiliert mit YARA-X
Autor
MalGamy
Datum
2025-05-20
Geändert
2026-05-15
Score / Qualität
65 / 85

Was diese Regel erkennt

Detects log file that contains system reconnaissance data, seen being generated by Katz stealer

Sie definiert 4 Muster (4 Text, 0 Hex, 0 Regex).

Zusammenfassung aus den Metadaten und der Bedingung der Regel erzeugt.

Regelquelltext

.yar herunterladen
susp-katz-log-may25.yarDetection Rule License 1.1
rule SIGNATURE_BASE_SUSP_Katz_Log_May25 : FILE
{
	meta:
		description = "Detects log file that contains system reconnaissance data, seen being generated by Katz stealer"
		author = "MalGamy"
		id = "be56f0ae-e444-569e-95d7-edccf4c6dd2b"
		date = "2025-05-20"
		modified = "2026-05-15"
		reference = "Internal Research"
		source_url = "https://github.com/Neo23x0/signature-base/blob/94a1c48d7ab499879287ff611dfe7f9c56376030/yara/mal_katz_stealer.yar#L45-L66"
		license_url = "https://github.com/Neo23x0/signature-base/blob/94a1c48d7ab499879287ff611dfe7f9c56376030/LICENSE"
		hash = "1ac196ac6393d786618c944a7ab77fb189a6b4ba00af5c0f987c3dc65876c060"
		hash = "ad76e2727469525dec7e56977589dd250ca57a29b8b0d42cd5c42e536c285241"
		hash = "e1a0d6929662bcbc9e5e0827cb8b6d7818088e996cf971d2a4a1c1ca4208e533"
		hash = "b10796c41e1cec7c84a3c68bfcaa7b20f49b620d1c94304a6b3ed73471fa9031"
		hash = "5a984e2e308fe84e4e2071dd877772361719ba0217c2c23da79dbb82dc15eac8"
		logic_hash = "847ab8f9a7abf260f4185d41ae9cb9af40c28726338ff2306a75d2160ae61f03"
		score = 65
		quality = 85
		tags = "FILE"

	strings:
		$s1 = "Motherboard Manufacturer:" ascii
		$s2 = "===== System Information =====" ascii
		$s3 = "Volume Name:" ascii
		$s4 = "Desktop Hostname:" ascii

	condition:
		filesize < 50KB and 3 of them
}

Strings (4 Muster)

BezeichnerTypWertModifikatoren
$s1Text"Motherboard Manufacturer:"ascii
$s2Text"===== System Information ====="ascii
$s3Text"Volume Name:"ascii
$s4Text"Desktop Hostname:"ascii

Bedingung

filesize < 50KB and 3 of them

In Worten (Heuristik)

  • Die Datei muss kleiner als 50KB sein (eine günstige Grenze, die große Dateien ausschließt).
  • Mindestens 3 Muster aus der Regel müssen treffen.

Diese Regel im Browser testen

Legen Sie eine Datei ab, um sie mit dieser Regel und YARA-X als WebAssembly zu scannen. Nichts wird hochgeladen.

Datei hier ablegen oder klicken zum AuswählenLokal mit YARA-X gescannt. Dateien bis 200 MB.

Im Editor öffnen

Proben-Hashes

Hashes der Proben, die der Autor in den Metadaten der Regel nennt (in Ihrer Threat-Intelligence-Plattform nachschlagen).

  • 1ac196ac6393d786618c944a7ab77fb189a6b4ba00af5c0f987c3dc65876c060
  • ad76e2727469525dec7e56977589dd250ca57a29b8b0d42cd5c42e536c285241
  • e1a0d6929662bcbc9e5e0827cb8b6d7818088e996cf971d2a4a1c1ca4208e533
  • b10796c41e1cec7c84a3c68bfcaa7b20f49b620d1c94304a6b3ed73471fa9031
  • 5a984e2e308fe84e4e2071dd877772361719ba0217c2c23da79dbb82dc15eac8

Lizenz & Namensnennung

Autor: MalGamy

Quell-Repository: Signature Base (Florian Roth / Nextron) @ 94a1c48d7a

Lizenz: Detection Rule License 1.1 (Repository-Lizenz)

Originalregel

Gespiegelt über YARA Forge 20260927, das Regelnamen mit der Quelle präfixiert und normalisierte Meta-Felder ergänzt.

Regel-ID: be56f0ae-e444-569e-95d7-edccf4c6dd2b

Tags:FILE

Verwandte Regeln