YARA · CAPE Sandbox (CAPEv2)

CAPE_Monsterv2

MonsterV2 Payload

GenéricaCAPE Sandbox (CAPEv2)GNU General Public License v3.0Compila con YARA-X

Autor: doomedraven,YungBinary
Fecha: 2025-09-06
Modificada: 2025-09-12
Puntuación / Calidad: 75 / 70

Qué detecta esta regla

MonsterV2 Payload

Objetivos: PE de Windows.

Define 1 patrones (0 de texto, 1 hex, 0 regex).

Resumen generado a partir de los metadatos y la condición de la regla.

Código de la regla

Descargar .yar

monsterv2.yarGNU General Public License v3.0

rule CAPE_Monsterv2 : FILE
{
	meta:
		description = "MonsterV2 Payload"
		author = "doomedraven,YungBinary"
		id = "4bc3546f-34ad-579e-9822-272a2b3c74e2"
		date = "2025-09-06"
		modified = "2025-09-12"
		reference = "https://github.com/kevoreilly/CAPEv2"
		source_url = "https://github.com/kevoreilly/CAPEv2/blob/6b15e76f28cd83fd1187da6c9aaaad2174255356/data/yara/CAPE/MonsterV2.yar#L1-L21"
		license_url = "https://github.com/kevoreilly/CAPEv2/blob/6b15e76f28cd83fd1187da6c9aaaad2174255356/LICENSE"
		logic_hash = "d4e65f860e69b2eee8a818a4146d91b84ce6da30c8fa27593587932e4f0847a8"
		score = 75
		quality = 70
		tags = "FILE"
		cape_type = "MonsterV2 Payload"
		packed = "fe69e8db634319815270aa0e55fe4b9c62ce8e62484609c3a42904fbe5bb2ab3"

	strings:
		$decrypt_config = {
            41 B8 0E 04 00 00
            48 8D 15 ?? ?? ?? 00
            48 8B C?
            E8 ?? ?? ?? ?? [3-17]
            4C 8B C?
            48 8D 54 24 28
            48 8B CE
            E8 ?? ?? ?? ??
        }

	condition:
		uint16( 0 ) == 0x5A4D and $decrypt_config
}

Cadenas (1 patrones)

Identificador	Tipo	Valor	Modificadores
$decrypt_config	hex	{ 41 B8 0E 04 00 00 48 8D 15 ?? ?? ?? 00 48 8B C? E8 ?? ?? ?? ?? [3-17] 4C 8B C? 48 8D 5 …

Condición

uint16( 0 ) == 0x5A4D and $decrypt_config

En palabras sencillas (Heurística)

El archivo debe empezar por «MZ»: un ejecutable de Windows (PE).
El patrón $decrypt_config debe estar presente.

Prueba esta regla en tu navegador

Arrastra un archivo para escanearlo con esta regla usando YARA-X compilado a WebAssembly. No se sube nada.

Arrastra un archivo aquí o haz clic para elegirSe escanea en local con YARA-X. Archivos de hasta 200 MB.

Abrir en el editor

Referencias

https://github.com/kevoreilly/CAPEv2

Licencia y atribución

Autor: doomedraven,YungBinary

Repositorio de origen: CAPE Sandbox (CAPEv2) @ 6b15e76f28

Licencia: GNU General Public License v3.0 (licencia del repositorio)

Aviso de copyright: Cuckoo Sandbox is copyrighted by the Cuckoo Foundation.

Regla original

Obtenida a través de YARA Forge 20260927, que añade a los nombres el prefijo de la fuente y campos meta normalizados.

Id de la regla: 4bc3546f-34ad-579e-9822-272a2b3c74e2

Metadatos

cape_type	MonsterV2 Payload
packed	fe69e8db634319815270aa0e55fe4b9c62ce8e62484609c3a42904fbe5bb2ab3

Etiquetas:FILE