Zum Inhalt springen
yararules.org
Menü

YARA · Signature Base (Florian Roth / Nextron)

SIGNATURE_BASE_SUSP_Sysinternals_Desktops_Anomaly_Feb25

Detects anomalies in Sysinternals Desktops binaries

Verdächtig / HuntingSignature Base (Florian Roth / Nextron)Detection Rule License 1.1Kompiliert mit YARA-X
Autor
Florian Roth
Datum
2025-02-14
Geändert
2025-03-20
Score / Qualität
70 / 85

Was diese Regel erkennt

Detects anomalies in Sysinternals Desktops binaries

Ziele: Windows-PE.

Sie definiert 3 Muster (3 Text, 0 Hex, 0 Regex).

Zusammenfassung aus den Metadaten und der Bedingung der Regel erzeugt.

Regelquelltext

.yar herunterladen
susp-sysinternals-desktops-anomaly-feb25.yarDetection Rule License 1.1
rule SIGNATURE_BASE_SUSP_Sysinternals_Desktops_Anomaly_Feb25 : FILE
{
	meta:
		description = "Detects anomalies in Sysinternals Desktops binaries"
		author = "Florian Roth"
		id = "5a586222-9263-5079-be48-9cfa464440d4"
		date = "2025-02-14"
		modified = "2025-03-20"
		reference = "Internal Research"
		source_url = "https://github.com/Neo23x0/signature-base/blob/94a1c48d7ab499879287ff611dfe7f9c56376030/yara/mal_phish_feb25.yar#L37-L60"
		license_url = "https://github.com/Neo23x0/signature-base/blob/94a1c48d7ab499879287ff611dfe7f9c56376030/LICENSE"
		hash = "5b8f64e090c7c9012e656c222682dfae7910669c7b7afaca35829cd1cc2eac17"
		hash = "d0f7f3f58e0dfcfd81235379bb5a236f40be490207d3bf45f190a264879090db"
		hash = "a83dc4d69a3de72aed4d1933db2ca120657f06adc6683346afbd267b8b7d27d0"
		hash = "9ebfe694914d337304edded8b6406bd3fbff1d4ee110ef3a8bf95c3fb5de7c38"
		hash = "9a5b9d89686de129a7b1970d5804f0f174156143ccfcd2cf669451c1ad4ab97e"
		hash = "ff82c4c679c5486aed2d66a802682245a1e9cd7d6ceb65fa0e7b222f902998e8"
		hash = "1da91d2570329f9e214f51bc633283f10bd55a145b7b3d254e03175fd86292d9"
		logic_hash = "e17b831c9644cfe6a4c82537a01cb937007308d94eb2b78f97f5fbad3546404a"
		score = 70
		quality = 85
		tags = "FILE"

	strings:
		$s1 = "Software\\Sysinternals\\Desktops" wide fullword
		$s2 = "Sysinternals Desktops" wide fullword
		$s3 = "http://www.sysinternals.com" wide fullword

	condition:
		uint16( 0 ) == 0x5a4d and filesize > 350KB and all of them
}

Strings (3 Muster)

BezeichnerTypWertModifikatoren
$s1Text"Software\\Sysinternals\\Desktops"wide fullword
$s2Text"Sysinternals Desktops"wide fullword
$s3Text"http://www.sysinternals.com"wide fullword

Bedingung

uint16( 0 ) == 0x5a4d and filesize > 350KB and all of them

In Worten (Heuristik)

  • Die Datei muss mit „MZ“ beginnen — eine Windows-Programmdatei (PE).
  • Die Datei muss größer als 350KB sein.
  • Alle Muster aus der Regel müssen treffen.

Diese Regel im Browser testen

Legen Sie eine Datei ab, um sie mit dieser Regel und YARA-X als WebAssembly zu scannen. Nichts wird hochgeladen.

Datei hier ablegen oder klicken zum AuswählenLokal mit YARA-X gescannt. Dateien bis 200 MB.

Im Editor öffnen

Proben-Hashes

Hashes der Proben, die der Autor in den Metadaten der Regel nennt (in Ihrer Threat-Intelligence-Plattform nachschlagen).

  • 5b8f64e090c7c9012e656c222682dfae7910669c7b7afaca35829cd1cc2eac17
  • d0f7f3f58e0dfcfd81235379bb5a236f40be490207d3bf45f190a264879090db
  • a83dc4d69a3de72aed4d1933db2ca120657f06adc6683346afbd267b8b7d27d0
  • 9ebfe694914d337304edded8b6406bd3fbff1d4ee110ef3a8bf95c3fb5de7c38
  • 9a5b9d89686de129a7b1970d5804f0f174156143ccfcd2cf669451c1ad4ab97e
  • ff82c4c679c5486aed2d66a802682245a1e9cd7d6ceb65fa0e7b222f902998e8
  • 1da91d2570329f9e214f51bc633283f10bd55a145b7b3d254e03175fd86292d9

Lizenz & Namensnennung

Autor: Florian Roth

Quell-Repository: Signature Base (Florian Roth / Nextron) @ 94a1c48d7a

Lizenz: Detection Rule License 1.1 (Repository-Lizenz)

Originalregel

Gespiegelt über YARA Forge 20260927, das Regelnamen mit der Quelle präfixiert und normalisierte Meta-Felder ergänzt.

Regel-ID: 5a586222-9263-5079-be48-9cfa464440d4

Tags:FILE

Verwandte Regeln