YARA · Trellix Advanced Research Center

TRELLIX_ARC_Nemty_Ransomware

Rule to detect Nemty Ransomware

MalwareNemtyTrellix Advanced Research CenterApache License 2.0Kompiliert mit YARA-X

Autor: Marc Rivero | McAfee ATR Team
Datum: 2020-02-23
Geändert: 2020-08-14
Score / Qualität: 75 / 70

Was diese Regel erkennt

Rule to detect Nemty Ransomware

Zugehörige Malware-Familie: Nemty.

Ziele: Windows-PE.

Sie definiert 20 Muster (20 Text, 0 Hex, 0 Regex).

Zusammenfassung aus den Metadaten und der Bedingung der Regel erzeugt.

Regelquelltext

.yar herunterladen

nemty-ransomware.yarApache License 2.0

rule TRELLIX_ARC_Nemty_Ransomware : RANSOMWARE FILE
{
	meta:
		description = "Rule to detect Nemty Ransomware"
		author = "Marc Rivero | McAfee ATR Team"
		id = "e9b133d6-fd77-5201-995d-c42bae7cde46"
		date = "2020-02-23"
		modified = "2020-08-14"
		reference = "https://www.mcafee.com/blogs/other-blogs/mcafee-labs/nemty-ransomware-learning-by-doing/"
		source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/ransomware/RANSOM_Nemty.yar#L1-L45"
		license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE"
		hash = "73bf76533eb0bcc4afb5c72dcb8e7306471ae971212d05d0ff272f171b94b2d4"
		logic_hash = "d055286670516318c14dcf4e5873b96eede5e1dfb3ee978553fc11f1ac6b3252"
		score = 75
		quality = 70
		tags = "RANSOMWARE, FILE"
		rule_version = "v1"
		malware_type = "ransomware"
		malware_family = "Ransom:W32/Nemty"
		actor_type = "Cybercrime"
		actor_group = "Unknown"

	strings:
		$x1 = "/c vssadmin.exe delete shadows /all /quiet & bcdedit /set {default} bootstatuspolicy ignoreallfailures & bcdedit /set {default}" fullword ascii
		$s2 = "https://pbs.twimg.com/media/Dn4vwaRW0AY-tUu.jpg:large :D" fullword ascii
		$s3 = "MSDOS.SYS" fullword wide
		$s4 = "/c vssadmin.exe delete shadows /all /quiet & bcdedit /set {default} bootstatuspolicy ignoreallfailures & bcdedit /set {default} " ascii
		$s5 = "recoveryenabled no & wbadmin delete catalog -quiet & wmic shadowcopy delete" fullword ascii
		$s6 = "DECRYPT.txt" fullword ascii
		$s7 = "pv3mi+NQplLqkkJpTNmji/M6mL4NGe5IHsRFJirV6HSyx8mC8goskf5lXH2d57vh52iqhhEc5maLcSrIKbukcnmUwym+In1OnvHp070=" fullword ascii
		$s8 = "\\NEMTY-DECRYPT.txt\"" fullword ascii
		$s9 = "rfyPvccxgVaLvW9OOY2J090Mq987N9lif/RoIDP89luS9Ouv9gUImpgCTVGWvJzrqiS8hQ5El02LdEvKcJ+7dn3DxiXSNG1PwLrY59KzGs/gUvXnYcmT6t34qfZmr8g8" ascii
		$s10 = "IO.SYS" fullword wide
		$s11 = "QgzjKXcD1Jh/cOLBh1OMb+rWxUbToys2ArG9laNWAWk0rNIv2dnIDpc+mSbp91E8qVN8Mv8K5jC3EBr4TB8jh5Ns/onBhPZ9rLXR7wIkaXGeTZi/4/XOtO3DFiad4+vf" ascii
		$s12 = "NEMTY-DECRYPT.txt" fullword wide
		$s13 = "pvXmjPQRoUmjj0g9QZ24wvEqyvcJVvFWXc0LL2XL5DWmz8me5wElh/48FHKcpbnq8C2kwQ==" fullword ascii
		$s14 = "a/QRAGlNLvqNuONkUWCQTNfoW45DFkZVjUPn0t3tJQnHWPhJR2HWttXqYpQQIMpn" fullword ascii
		$s15 = "KeoJrLFoTgXaTKTIr+v/ObwtC5BKtMitXq8aaDT8apz98QQvQgMbncLSJWJG+bHvaMhG" fullword ascii
		$s16 = "pu/hj6YerUnqlUM9A8i+i/UhnvsIE+9XTYs=" fullword ascii
		$s17 = "grQkLxaGvL0IBGGCRlJ8Q4qQP/midozZSBhFGEDpNElwvWXhba6kTH1LoX8VYNOCZTDzLe82kUD1TSAoZ/fz+8QN7pLqol5+f9QnCLB9QKOi0OmpIS1DLlngr9YH99vt" ascii
		$s18 = "BOOTSECT.BAK" fullword wide
		$s19 = "bbVU/9TycwPO+5MgkokSHkAbUSRTwcbYy5tmDXAU1lcF7d36BTpfvzaV5/VI6ARRt2ypsxHGlnOJQUTH6Ya//Eu0jPi/6s2MmOk67csw/msiaaxuHXDostsSCC+kolVX" ascii
		$s20 = "puh4wXjVYWJzFN6aIgnClL4W/1/5Eg6bm5uEv6Dru0pfOvhmbF1SY3zav4RQVQTYMfZxAsaBYfJ+Gx+6gDEmKggypl1VcVXWRbxAuDIXaByh9aP4B2QvhLnJxZLe+AG5" ascii

	condition:
		( uint16( 0 ) == 0x5a4d and filesize < 400KB and ( 1 of ( $x* ) and 4 of them ) )
}

Strings (20 Muster)

Bezeichner	Typ	Wert	Modifikatoren
$x1	Text	"/c vssadmin.exe delete shadows /all /quiet & bcdedit /set {default} bootstatuspolicy ignoreallfailures & bcdedit /set {default}"	fullword ascii
$s2	Text	"https://pbs.twimg.com/media/Dn4vwaRW0AY-tUu.jpg:large :D"	fullword ascii
$s3	Text	"MSDOS.SYS"	fullword wide
$s4	Text	"/c vssadmin.exe delete shadows /all /quiet & bcdedit /set {default} bootstatuspolicy ignoreallfailures & bcdedit /set {default} "	ascii
$s5	Text	"recoveryenabled no & wbadmin delete catalog -quiet & wmic shadowcopy delete"	fullword ascii
$s6	Text	"DECRYPT.txt"	fullword ascii
$s7	Text	"pv3mi+NQplLqkkJpTNmji/M6mL4NGe5IHsRFJirV6HSyx8mC8goskf5lXH2d57vh52iqhhEc5maLcSrIKbukcnmUwym+In1OnvHp070="	fullword ascii
$s8	Text	"\\NEMTY-DECRYPT.txt\""	fullword ascii
$s9	Text	"rfyPvccxgVaLvW9OOY2J090Mq987N9lif/RoIDP89luS9Ouv9gUImpgCTVGWvJzrqiS8hQ5El02LdEvKcJ+7dn3DxiXSNG1PwLrY59KzGs/gUvXnYcmT6t34qfZmr8g8"	ascii
$s10	Text	"IO.SYS"	fullword wide
$s11	Text	"QgzjKXcD1Jh/cOLBh1OMb+rWxUbToys2ArG9laNWAWk0rNIv2dnIDpc+mSbp91E8qVN8Mv8K5jC3EBr4TB8jh5Ns/onBhPZ9rLXR7wIkaXGeTZi/4/XOtO3DFiad4+vf"	ascii
$s12	Text	"NEMTY-DECRYPT.txt"	fullword wide
$s13	Text	"pvXmjPQRoUmjj0g9QZ24wvEqyvcJVvFWXc0LL2XL5DWmz8me5wElh/48FHKcpbnq8C2kwQ=="	fullword ascii
$s14	Text	"a/QRAGlNLvqNuONkUWCQTNfoW45DFkZVjUPn0t3tJQnHWPhJR2HWttXqYpQQIMpn"	fullword ascii
$s15	Text	"KeoJrLFoTgXaTKTIr+v/ObwtC5BKtMitXq8aaDT8apz98QQvQgMbncLSJWJG+bHvaMhG"	fullword ascii
$s16	Text	"pu/hj6YerUnqlUM9A8i+i/UhnvsIE+9XTYs="	fullword ascii
$s17	Text	"grQkLxaGvL0IBGGCRlJ8Q4qQP/midozZSBhFGEDpNElwvWXhba6kTH1LoX8VYNOCZTDzLe82kUD1TSAoZ/fz+8QN7pLqol5+f9QnCLB9QKOi0OmpIS1DLlngr9YH99vt"	ascii
$s18	Text	"BOOTSECT.BAK"	fullword wide
$s19	Text	"bbVU/9TycwPO+5MgkokSHkAbUSRTwcbYy5tmDXAU1lcF7d36BTpfvzaV5/VI6ARRt2ypsxHGlnOJQUTH6Ya//Eu0jPi/6s2MmOk67csw/msiaaxuHXDostsSCC+kolVX"	ascii
$s20	Text	"puh4wXjVYWJzFN6aIgnClL4W/1/5Eg6bm5uEv6Dru0pfOvhmbF1SY3zav4RQVQTYMfZxAsaBYfJ+Gx+6gDEmKggypl1VcVXWRbxAuDIXaByh9aP4B2QvhLnJxZLe+AG5"	ascii

Bedingung

( uint16( 0 ) == 0x5a4d and filesize < 400KB and ( 1 of ( $x* ) and 4 of them ) )

In Worten (Heuristik)

Die Datei muss mit „MZ“ beginnen — eine Windows-Programmdatei (PE).
Die Datei muss kleiner als 400KB sein (eine günstige Grenze, die große Dateien ausschließt).
Mindestens 1 Muster aus ( $x* ) müssen treffen.
Mindestens 4 Muster aus der Regel müssen treffen.

Diese Regel im Browser testen

Legen Sie eine Datei ab, um sie mit dieser Regel und YARA-X als WebAssembly zu scannen. Nichts wird hochgeladen.

Datei hier ablegen oder klicken zum AuswählenLokal mit YARA-X gescannt. Dateien bis 200 MB.

Im Editor öffnen

Referenzen

https://www.mcafee.com/blogs/other-blogs/mcafee-labs/nemty-ransomware-learning-by-doing/

Proben-Hashes

Hashes der Proben, die der Autor in den Metadaten der Regel nennt (in Ihrer Threat-Intelligence-Plattform nachschlagen).

73bf76533eb0bcc4afb5c72dcb8e7306471ae971212d05d0ff272f171b94b2d4

Lizenz & Namensnennung

Autor: Marc Rivero | McAfee ATR Team

Quell-Repository: Trellix Advanced Research Center @ 1919562a59

Lizenz: Apache License 2.0 (Repository-Lizenz)

Originalregel

Gespiegelt über YARA Forge 20260927, das Regelnamen mit der Quelle präfixiert und normalisierte Meta-Felder ergänzt.

Regel-ID: e9b133d6-fd77-5201-995d-c42bae7cde46

Metadaten

rule_version	v1
malware_type	ransomware
malware_family	Ransom:W32/Nemty
actor_type	Cybercrime
actor_group	Unknown

Tags:RANSOMWARE FILE

TRELLIX_ARC_Nemty_Ransomware_2_6
MalwareTrellix Advanced Research Center· Marc Rivero | McAfee ATR Team· 2020-04-06
MALPEDIA_Win_Nemty_Auto
MalwareMalpedia signator rules· Felix Bilstein - yara-signator at cocacoding dot com· 2026-05-04
DITEKSHEN_MALWARE_Win_Nemty
MalwareditekSHen detection· ditekSHen· 2020-11-06
CAPE_Nemty
MalwareCAPE Sandbox (CAPEv2)· kevoreilly· 2020-04-03
ARKBIRD_SOLG_RAN_Nemty_June_2021_1Nur Metadaten
MalwareArkbird SOLG (DailyIOC)· Arkbird_SOLG· 2021-06-12
DITEKSHEN_INDICATOR_KB_Gobuildid_Nemty
Verdächtig / HuntingditekSHen detection· ditekSHen· 2021-01-21
TRELLIX_ARC_Cryptonar_Ransomware
MalwareTrellix Advanced Research Center· Marc Rivero | McAfee ATR Team· 2026-09-01
TRELLIX_ARC_Rietspoof_Loader
MalwareTrellix Advanced Research Center· Marc Rivero | McAfee ATR Team· 2026-09-01

Weitere Nemty-Regeln