Saltar al contenido
yararules.org
Menú

YARA · BlackBerry Research & Intelligence (via Open-Source-YARA-rules)

BLACKBERRY_Headertip

Detects HeaderTip

MalwareHeadertipBlackBerry Research & Intelligence (via Open-Source-YARA-rules)Apache License 2.0Compila con YARA-X
Autor
BlackBerry Threat Research Team
Fecha
2022-04-06
Modificada
2022-07-06
Puntuación / Calidad
75 / 85

Qué detecta esta regla

Detects HeaderTip

Familia de malware asociada: Headertip.

Define 2 patrones (2 de texto, 0 hex, 0 regex).

Resumen generado a partir de los metadatos y la condición de la regla.

Código de la regla

Descargar .yar
headertip.yarApache License 2.0
rule BLACKBERRY_Headertip : FILE
{
	meta:
		description = "Detects HeaderTip"
		author = "BlackBerry Threat Research Team"
		id = "8569fed8-0fa8-515a-8ca2-ca4c2a959bbe"
		date = "2022-04-06"
		modified = "2022-07-06"
		reference = "https://blogs.blackberry.com/en/2022/04/threat-thursday-headertip-backdoor-shows-attackers-from-china-preying-on-ukraine"
		source_url = "https://github.com/mikesxrs/Open-Source-YARA-rules/blob/ec0056f767db98bf6d5fd63877ad51fb54d350e9/Blackberry/HeaderTip.yar#L1-L18"
		license_url = "N/A"
		logic_hash = "426c6ebd4ebf85cc4b13d47dc77ae2648fba2b0ccdb7eeaea6b96f19a46c2d4e"
		score = 75
		quality = 85
		tags = "FILE"
		license = "This Yara rule is provided under the Apache License 2.0 (https://www.apache.org/licenses/LICENSE-2.0) and open to any user or organization, as long as you use it under this license and ensure originator credit in any derivative to The BlackBerry Research & Intelligence Team"

	strings:
		$s1 = "type %temp%\\officecleaner.dat >> %objfile%"
		$s2 = "product2020.mrbasic.com" wide

	condition:
		filesize < 750KB and all of them
}

Cadenas (2 patrones)

IdentificadorTipoValorModificadores
$s1texto"type %temp%\\officecleaner.dat >> %objfile%"
$s2texto"product2020.mrbasic.com"wide

Condición

filesize < 750KB and all of them

En palabras sencillas (Heurística)

  • El archivo debe ocupar menos de 750KB (un límite barato que descarta archivos grandes).
  • Deben coincidir todos los patrones de la regla.

Prueba esta regla en tu navegador

Arrastra un archivo para escanearlo con esta regla usando YARA-X compilado a WebAssembly. No se sube nada.

Arrastra un archivo aquí o haz clic para elegirSe escanea en local con YARA-X. Archivos de hasta 200 MB.

Abrir en el editor

Referencias

Licencia y atribución

Autor: BlackBerry Threat Research Team

Repositorio de origen: BlackBerry Research & Intelligence (via Open-Source-YARA-rules) @ ec0056f767

Licencia: Apache License 2.0 (indicada en los metadatos de la regla)

“This Yara rule is provided under the Apache License 2.0 (https://www.apache.org/licenses/LICENSE-2.0) and open to any user or organization, as long as you use it under this license and ensure originator credit in any derivative to The BlackBerry Research & Intelligence Team”

Regla original

Obtenida a través de YARA Forge 20260927, que añade a los nombres el prefijo de la fuente y campos meta normalizados.

Id de la regla: 8569fed8-0fa8-515a-8ca2-ca4c2a959bbe

Etiquetas:FILE

Reglas relacionadas

Más reglas de Headertip