Saltar al contenido
yararules.org
Menú

YARA · CAPE Sandbox (CAPEv2)

CAPE_Rhadamanthysloader

Rhadamanthys Loader

MalwareRhadamanthysCAPE Sandbox (CAPEv2)GNU General Public License v3.0Compila con YARA-X
Autor
kevoreilly
Fecha
2023-01-25
Modificada
2025-12-19
Puntuación / Calidad
75 / 70

Qué detecta esta regla

Rhadamanthys Loader

Familia de malware asociada: Rhadamanthys.

Define 3 patrones (0 de texto, 3 hex, 0 regex).

Resumen generado a partir de los metadatos y la condición de la regla.

Código de la regla

Descargar .yar
rhadamanthysloader.yarGNU General Public License v3.0
rule CAPE_Rhadamanthysloader
{
	meta:
		description = "Rhadamanthys Loader"
		author = "kevoreilly"
		id = "0d9955e8-c6e5-50f0-8006-8f6157038d40"
		date = "2023-01-25"
		modified = "2025-12-19"
		reference = "https://github.com/kevoreilly/CAPEv2"
		source_url = "https://github.com/kevoreilly/CAPEv2/blob/6b15e76f28cd83fd1187da6c9aaaad2174255356/data/yara/CAPE/Rhadamanthys.yar#L21-L33"
		license_url = "https://github.com/kevoreilly/CAPEv2/blob/6b15e76f28cd83fd1187da6c9aaaad2174255356/LICENSE"
		logic_hash = "5505c9ba1f0c6cb9aa9c212bf8bc2c49ad544e99996a1f4c1fa79a27a14d4c7f"
		score = 75
		quality = 70
		tags = ""
		cape_type = "Rhadamanthys Loader"

	strings:
		$ref = {33 D2 B9 0B 00 00 00 F7 F1 B8 01 00 00 00 6B C8 00 8D 84 0D [4] 0F BE 0C 10 8B 95 [4] 03 95 [4] 0F B6 02 33 C1 8B 8D [4] 03 8D [4] 88 01}
		$ntdll = {B9 6E 00 00 00 66 89 8D [4] BA 74 00 00 00 66 89 95 [4] B8 64 00 00 00 66 89 85 [4] B9 6C 00 00 00 66 89 8D [4] BA 6C 00 00 00 66 89 95}
		$exit = {6A 00 6A 00 6A 00 6A 00 6A 00 6A 00 8B 95 [4] 52 8B 85 [4] 50 6A 00 68 FF FF 1F 00}

	condition:
		2 of them
}

Cadenas (3 patrones)

IdentificadorTipoValorModificadores
$refhex{33 D2 B9 0B 00 00 00 F7 F1 B8 01 00 00 00 6B C8 00 8D 84 0D [4] 0F BE 0C 10 8B 95 [4] 03 95 [4] 0F B6 02 33 C1 8B 8D [4] 03 8D [4] 88 01}
$ntdllhex{B9 6E 00 00 00 66 89 8D [4] BA 74 00 00 00 66 89 95 [4] B8 64 00 00 00 66 89 85 [4] B9 6C 00 00 00 66 89 8D [4] BA 6C 00 00 00 66 89 95}
$exithex{6A 00 6A 00 6A 00 6A 00 6A 00 6A 00 8B 95 [4] 52 8B 85 [4] 50 6A 00 68 FF FF 1F 00}

Condición

2 of them

En palabras sencillas (Heurística)

  • Deben coincidir al menos 2 patrones de la regla.

Prueba esta regla en tu navegador

Arrastra un archivo para escanearlo con esta regla usando YARA-X compilado a WebAssembly. No se sube nada.

Arrastra un archivo aquí o haz clic para elegirSe escanea en local con YARA-X. Archivos de hasta 200 MB.

Abrir en el editor

Referencias

Licencia y atribución

Autor: kevoreilly

Repositorio de origen: CAPE Sandbox (CAPEv2) @ 6b15e76f28

Licencia: GNU General Public License v3.0 (licencia del repositorio)

Aviso de copyright: Cuckoo Sandbox is copyrighted by the Cuckoo Foundation.

Regla original

Obtenida a través de YARA Forge 20260927, que añade a los nombres el prefijo de la fuente y campos meta normalizados.

Id de la regla: 0d9955e8-c6e5-50f0-8006-8f6157038d40

Metadatos

cape_typeRhadamanthys Loader

Reglas relacionadas

Más reglas de Rhadamanthys