YARA · Cado Security (via Open-Source-YARA-rules)

CADOSECURITY_Lambda_Malware

Detects AWS Lambda Malware

MalwareCado Security (via Open-Source-YARA-rules)Apache License 2.0Compila con YARA-X

Autor: cdoman@cadosecurity.com
Fecha: 2022-04-03
Modificada: 2022-07-06
Puntuación / Calidad: 75 / 80

Qué detecta esta regla

Detects AWS Lambda Malware

Define 3 patrones (3 de texto, 0 hex, 0 regex).

Resumen generado a partir de los metadatos y la condición de la regla.

Código de la regla

Descargar .yar

lambda-malware.yarApache License 2.0

rule CADOSECURITY_Lambda_Malware : FILE
{
	meta:
		description = "Detects AWS Lambda Malware"
		author = "cdoman@cadosecurity.com"
		id = "cd867d39-7ff8-599a-bd65-e0f5581ac3f6"
		date = "2022-04-03"
		modified = "2022-07-06"
		reference = "https://www.cadosecurity.com/cado-discovers-denonia-the-first-malware-specifically-targeting-lambda/"
		source_url = "https://github.com/mikesxrs/Open-Source-YARA-rules/blob/ec0056f767db98bf6d5fd63877ad51fb54d350e9/Cado Security/Lambda_Malware.yar#L1-L17"
		license_url = "N/A"
		hash = "739fe13697bc55870ceb35003c4ee01a335f9c1f6549acb6472c5c3078417eed"
		hash = "a31ae5b7968056d8d99b1b720a66a9a1aeee3637b97050d95d96ef3a265cbbca"
		logic_hash = "46567ceeb39a3b3379fc5ee876e1539b24e8192af8fe31b5df16fb2b3105f176"
		score = 75
		quality = 80
		tags = "FILE"
		license = "Apache License 2.0"

	strings:
		$a = "github.com/likexian/doh-go/provider/"
		$b = "Mozilla/5.0 (compatible; Ezooms/1.0; help@moz.com)"
		$c = "username:password pair for mining server"

	condition:
		filesize < 30000KB and all of them
}

Cadenas (3 patrones)

Identificador	Tipo	Valor
$a	texto	"github.com/likexian/doh-go/provider/"
$b	texto	"Mozilla/5.0 (compatible; Ezooms/1.0; help@moz.com)"
$c	texto	"username:password pair for mining server"

Condición

filesize < 30000KB and all of them

En palabras sencillas (Heurística)

El archivo debe ocupar menos de 30000KB (un límite barato que descarta archivos grandes).
Deben coincidir todos los patrones de la regla.

Prueba esta regla en tu navegador

Arrastra un archivo para escanearlo con esta regla usando YARA-X compilado a WebAssembly. No se sube nada.

Arrastra un archivo aquí o haz clic para elegirSe escanea en local con YARA-X. Archivos de hasta 200 MB.

Abrir en el editor

Referencias

https://www.cadosecurity.com/cado-discovers-denonia-the-first-malware-specifically-targeting-lambda/

Hashes de muestras

Hashes de las muestras que el autor lista en los metadatos de la regla (búscalos en tu plataforma de threat intelligence).

739fe13697bc55870ceb35003c4ee01a335f9c1f6549acb6472c5c3078417eed
a31ae5b7968056d8d99b1b720a66a9a1aeee3637b97050d95d96ef3a265cbbca

Licencia y atribución

Autor: cdoman@cadosecurity.com

Repositorio de origen: Cado Security (via Open-Source-YARA-rules) @ ec0056f767

Licencia: Apache License 2.0 (indicada en los metadatos de la regla)

“Apache License 2.0”

Regla original

Obtenida a través de YARA Forge 20260927, que añade a los nombres el prefijo de la fuente y campos meta normalizados.

Id de la regla: cd867d39-7ff8-599a-bd65-e0f5581ac3f6

Etiquetas:FILE