Zum Inhalt springen
yararules.org
Menü

YARA · Signature Base (Florian Roth / Nextron)

SIGNATURE_BASE_SUSP_LNX_ARCH_Install_Hook_Jun26

Detects suspicious pre and post hooks in Arch install files

Verdächtig / HuntingSignature Base (Florian Roth / Nextron)Detection Rule License 1.1Kompiliert mit YARA-X
Autor
Marius Benthin
Datum
2026-06-15
Score / Qualität
70 / 85

Was diese Regel erkennt

Detects suspicious pre and post hooks in Arch install files

Sie definiert 9 Muster (9 Text, 0 Hex, 0 Regex).

Zusammenfassung aus den Metadaten und der Bedingung der Regel erzeugt.

Regelquelltext

.yar herunterladen
susp-lnx-arch-install-hook-jun26.yarDetection Rule License 1.1
rule SIGNATURE_BASE_SUSP_LNX_ARCH_Install_Hook_Jun26 : FILE
{
	meta:
		description = "Detects suspicious pre and post hooks in Arch install files"
		author = "Marius Benthin"
		id = "926d4abf-1409-5d6f-b3f0-7db5227ff447"
		date = "2026-06-15"
		modified = "2026-06-15"
		reference = "https://aur.archlinux.org/cgit/aur.git/commit/?h=python-django-js-asset&id=af09b1cf1b59"
		source_url = "https://github.com/Neo23x0/signature-base/blob/94a1c48d7ab499879287ff611dfe7f9c56376030/yara/susp_aur_packages.yar#L43-L70"
		license_url = "https://github.com/Neo23x0/signature-base/blob/94a1c48d7ab499879287ff611dfe7f9c56376030/LICENSE"
		hash = "47c076099e6715ffb0bd357b6832175741e77b88972033cd1f9b55b6ff7e5519"
		hash = "ef735bca8cb2acafe70831e33ed468a3046a61147af694000761970415c7eef1"
		logic_hash = "b9850b02ef5df3834c072d267d3449617e28f71ec9120a9e64f24d46e57b9a0f"
		score = 70
		quality = 85
		tags = "FILE"

	strings:
		$sa1 = "pre_install() {"
		$sa2 = "post_install() {"
		$sa3 = "pre_upgrade() {"
		$sa4 = "post_upgrade() {"
		$sa5 = "pre_remove() {"
		$sa6 = "post_remove() {"
		$sb1 = "npm install "
		$sb2 = "&& 'b''u''n'"
		$fp1 = "#!/bin/sh"

	condition:
		filesize < 5KB and 1 of ( $sa* ) and 1 of ( $sb* ) and not 1 of ( $fp* )
}

Strings (9 Muster)

BezeichnerTypWertModifikatoren
$sa1Text"pre_install() {"
$sa2Text"post_install() {"
$sa3Text"pre_upgrade() {"
$sa4Text"post_upgrade() {"
$sa5Text"pre_remove() {"
$sa6Text"post_remove() {"
$sb1Text"npm install "
$sb2Text"&& 'b''u''n'"
$fp1Text"#!/bin/sh"

Bedingung

filesize < 5KB and 1 of ( $sa* ) and 1 of ( $sb* ) and not 1 of ( $fp* )

In Worten (Heuristik)

  • Die Datei muss kleiner als 5KB sein (eine günstige Grenze, die große Dateien ausschließt).
  • Mindestens 1 Muster aus ( $sa* ) müssen treffen.
  • Mindestens 1 Muster aus ( $sb* ) müssen treffen.
  • Mindestens 1 Muster aus ( $fp* ) müssen treffen.

Diese Regel im Browser testen

Legen Sie eine Datei ab, um sie mit dieser Regel und YARA-X als WebAssembly zu scannen. Nichts wird hochgeladen.

Datei hier ablegen oder klicken zum AuswählenLokal mit YARA-X gescannt. Dateien bis 200 MB.

Im Editor öffnen

Referenzen

Proben-Hashes

Hashes der Proben, die der Autor in den Metadaten der Regel nennt (in Ihrer Threat-Intelligence-Plattform nachschlagen).

  • 47c076099e6715ffb0bd357b6832175741e77b88972033cd1f9b55b6ff7e5519
  • ef735bca8cb2acafe70831e33ed468a3046a61147af694000761970415c7eef1

Lizenz & Namensnennung

Autor: Marius Benthin

Quell-Repository: Signature Base (Florian Roth / Nextron) @ 94a1c48d7a

Lizenz: Detection Rule License 1.1 (Repository-Lizenz)

Originalregel

Gespiegelt über YARA Forge 20260927, das Regelnamen mit der Quelle präfixiert und normalisierte Meta-Felder ergänzt.

Regel-ID: 926d4abf-1409-5d6f-b3f0-7db5227ff447

Tags:FILE

Verwandte Regeln