Zum Inhalt springen
yararules.org
Menü

YARA · WithSecure Labs IOCs

WITHSECURELABS_Tanglecrypt

Detects samples packed with TangleCrypt

Verdächtig / HuntingWithSecure Labs IOCsBSD 2-Clause LicenseKompiliert mit YARA-X (mit Warnungen)
Autor
WithSecure
Datum
2025-11-25
Geändert
2025-11-24
Score / Qualität
75 / 73

Was diese Regel erkennt

Detects samples packed with TangleCrypt

Ziele: Windows-PE.

Sie definiert 3 Muster (0 Text, 3 Hex, 0 Regex).

YARA-X meldet: warning[text_as_hex]: hex pattern could be written as text literal

Zusammenfassung aus den Metadaten und der Bedingung der Regel erzeugt.

Regelquelltext

.yar herunterladen
tanglecrypt.yarBSD 2-Clause License
rule WITHSECURELABS_Tanglecrypt : FILE
{
	meta:
		description = "Detects samples packed with TangleCrypt"
		author = "WithSecure"
		id = "d208791a-5edf-5c79-87e2-78ed5023ece7"
		date = "2025-11-25"
		modified = "2025-11-24"
		reference = "https://labs.withsecure.com/publications/tanglecrypt"
		source_url = "https://github.com/WithSecureLabs/iocs/blob/1a8384468dd292c6d2c5114c32e42dc0da1f5ae1/TangleCrypt/TangleCrypt_YARA.yar#L1-L27"
		license_url = "https://github.com/WithSecureLabs/iocs/blob/1a8384468dd292c6d2c5114c32e42dc0da1f5ae1/LICENSE"
		hash = "2936f5f3ff24f5bb42eace4ad2d64989b19dc6cd75d8f4ee83496ee6bdf169f6"
		hash = "fb3fc93dc627c7dfd8d95c1d66c2cb66caac92783b6d6eb33ac5b91647871ae6"
		logic_hash = "0d980d72e6ddcc9eedc5977bf895f358144f5720c2ca32266854497afad4a382"
		score = 75
		quality = 73
		tags = "FILE"
		version = "1.0"

	strings:
		$str1 = { 43 61 6E 27 74 20 63 61 6C 6C 20 57 69 6E 41 50 49 20 66 75 6E 63 74 69 6F 6E }
		$opc_x64 = { 41 B8 D7 08 00 00 [0-10] ( E8 | FF 15 ) }
		$opc_x86 = { 68 D7 08 00 00 [0-10] ( E8 | FF 15 ) }

	condition:
		uint16( 0 ) == 0x5A4D and ( uint32( uint32( 0x3C ) ) == 0x00004550 ) and all of ( $str* ) and ( #opc_x64 > 50 or #opc_x86 > 50 )
}

Strings (3 Muster)

BezeichnerTypWertModifikatoren
$str1Hex{ 43 61 6E 27 74 20 63 61 6C 6C 20 57 69 6E 41 50 49 20 66 75 6E 63 74 69 6F 6E }
$opc_x64Hex{ 41 B8 D7 08 00 00 [0-10] ( E8 | FF 15 ) }
$opc_x86Hex{ 68 D7 08 00 00 [0-10] ( E8 | FF 15 ) }

Bedingung

uint16( 0 ) == 0x5A4D and ( uint32( uint32( 0x3C ) ) == 0x00004550 ) and all of ( $str* ) and ( #opc_x64 > 50 or #opc_x86 > 50 )

In Worten (Heuristik)

  • Die Datei muss mit „MZ“ beginnen — eine Windows-Programmdatei (PE).
  • Alle Muster aus ( $str* ) müssen treffen.
  • Muster $opc_x64 muss > 50-mal vorkommen.
  • Muster $opc_x86 muss > 50-mal vorkommen.

Diese Regel im Browser testen

Legen Sie eine Datei ab, um sie mit dieser Regel und YARA-X als WebAssembly zu scannen. Nichts wird hochgeladen.

Datei hier ablegen oder klicken zum AuswählenLokal mit YARA-X gescannt. Dateien bis 200 MB.

Im Editor öffnen

Referenzen

Proben-Hashes

Hashes der Proben, die der Autor in den Metadaten der Regel nennt (in Ihrer Threat-Intelligence-Plattform nachschlagen).

  • 2936f5f3ff24f5bb42eace4ad2d64989b19dc6cd75d8f4ee83496ee6bdf169f6
  • fb3fc93dc627c7dfd8d95c1d66c2cb66caac92783b6d6eb33ac5b91647871ae6

Lizenz & Namensnennung

Autor: WithSecure

Quell-Repository: WithSecure Labs IOCs @ 1a8384468d

Lizenz: BSD 2-Clause License (Repository-Lizenz)

Copyright-Hinweis: Copyright (c) 2022, WithSecure Oyj

Originalregel

Gespiegelt über YARA Forge 20260927, das Regelnamen mit der Quelle präfixiert und normalisierte Meta-Felder ergänzt.

Regel-ID: d208791a-5edf-5c79-87e2-78ed5023ece7

Metadaten

version1.0

Tags:FILE

Verwandte Regeln