Saltar al contenido
yararules.org
Menú

YARA · Cado Security (via Open-Source-YARA-rules)

CADOSECURITY_Powershell_Downloader_POWERGAP

Detects POWERGAP downloader used against Ukrainian ICS

MalwareCado Security (via Open-Source-YARA-rules)Apache License 2.0Compila con YARA-X
Autor
mmuir@cadosecurity.com
Fecha
2022-04-12
Modificada
2022-07-06
Puntuación / Calidad
75 / 80

Qué detecta esta regla

Detects POWERGAP downloader used against Ukrainian ICS

Define 8 patrones (8 de texto, 0 hex, 0 regex).

Resumen generado a partir de los metadatos y la condición de la regla.

Código de la regla

Descargar .yar
powershell-downloader-powergap.yarApache License 2.0
rule CADOSECURITY_Powershell_Downloader_POWERGAP
{
	meta:
		description = "Detects POWERGAP downloader used against Ukrainian ICS"
		author = "mmuir@cadosecurity.com"
		id = "d2a2604c-c558-5663-8dd3-44f3fdda1f71"
		date = "2022-04-12"
		modified = "2022-07-06"
		reference = "https://github.com/cado-security/DFIR_Resources_Industroyer2"
		source_url = "https://github.com/mikesxrs/Open-Source-YARA-rules/blob/ec0056f767db98bf6d5fd63877ad51fb54d350e9/Cado Security/Powershell_Downloader_POWERGAP.yar#L1-L19"
		license_url = "N/A"
		logic_hash = "a9ef1d04ca921f285e973f6abcb2b355eae110678da866e3b6499aa0318338fd"
		score = 75
		quality = 80
		tags = ""
		license = "Apache License 2.0"

	strings:
		$a = "Start-work" ascii
		$b = "$GpoGuid" ascii
		$c = "$SourceFile" ascii
		$d = "$DestinationFile" ascii
		$e = "$appName" ascii
		$f = "LDAP://ROOTDSE" ascii
		$g = "GPT.INI" ascii
		$h = "Get-WmiObject" ascii

	condition:
		5 of them
}

Cadenas (8 patrones)

IdentificadorTipoValorModificadores
$atexto"Start-work"ascii
$btexto"$GpoGuid"ascii
$ctexto"$SourceFile"ascii
$dtexto"$DestinationFile"ascii
$etexto"$appName"ascii
$ftexto"LDAP://ROOTDSE"ascii
$gtexto"GPT.INI"ascii
$htexto"Get-WmiObject"ascii

Condición

5 of them

En palabras sencillas (Heurística)

  • Deben coincidir al menos 5 patrones de la regla.

Prueba esta regla en tu navegador

Arrastra un archivo para escanearlo con esta regla usando YARA-X compilado a WebAssembly. No se sube nada.

Arrastra un archivo aquí o haz clic para elegirSe escanea en local con YARA-X. Archivos de hasta 200 MB.

Abrir en el editor

Referencias

Licencia y atribución

Autor: mmuir@cadosecurity.com

Repositorio de origen: Cado Security (via Open-Source-YARA-rules) @ ec0056f767

Licencia: Apache License 2.0 (indicada en los metadatos de la regla)

“Apache License 2.0”

Regla original

Obtenida a través de YARA Forge 20260927, que añade a los nombres el prefijo de la fuente y campos meta normalizados.

Id de la regla: d2a2604c-c558-5663-8dd3-44f3fdda1f71

Reglas relacionadas