Saltar al contenido
yararules.org
Menú

YARA · Costin Raiu yararules

CRAIU_Apt_ZZ_Orangeworm_Kwampirs_Installer

Kwampirs installer xor keys and Unicode string length routine

APT / actorKwampirsCostin Raiu yararulesGNU General Public License v3.0Compila con YARA-X
Autor
FBI / cywatch@fbi.gov
Fecha
2020-01-14
Modificada
2020-03-31
Puntuación / Calidad
75 / 85

Qué detecta esta regla

Kwampirs installer xor keys and Unicode string length routine

Familia de malware asociada: Kwampirs.

Objetivos: PE de Windows.

Define 3 patrones (0 de texto, 3 hex, 0 regex).

Resumen generado a partir de los metadatos y la condición de la regla.

Código de la regla

Descargar .yar
apt-zz-orangeworm-kwampirs-installer.yarGNU General Public License v3.0
rule CRAIU_Apt_ZZ_Orangeworm_Kwampirs_Installer : FILE
{
	meta:
		description = "Kwampirs installer xor keys and Unicode string length routine"
		author = "FBI / cywatch@fbi.gov"
		id = "8c80d0d5-8c65-5cef-ad86-b38f4d671bec"
		date = "2020-01-14"
		modified = "2020-03-31"
		reference = "https://assets.documentcloud.org/documents/6821582/FLASH-CP-000118-MW-Downgraded-Version.pdf"
		source_url = "https://github.com/craiu/yararules/blob/23cf0ca22021fa3684e180a18416b9ae1b695243/files/apt_zz_orangeworm.yara#L109-L127"
		license_url = "https://github.com/craiu/yararules/blob/23cf0ca22021fa3684e180a18416b9ae1b695243/LICENSE"
		logic_hash = "ac9c3ba7188cbbe736ff81b41086fdc874ac24ae83d3cec390907f8edd0a0ce5"
		score = 75
		quality = 85
		tags = "FILE"
		yara_version = "3.7.0"

	strings:
		$string_key = { 6C 35 E3 31 1B 23 F9 C9 65 EB F3 07 93 33 F2 A3 }
		$resource_key = { 28 99 B6 17 63 33 EE 22 97 97 55 B5 7A C4 E1 A4 }
		$strlenW = { 33 C0 85 C9 74 17 80 3C 41 00 75 07 80 7C 41 01 00 74 0A 3D 00 94 35 77 73 03 40 EB E9 C3}

	condition:
		(( uint16( 0 ) == 0x5a4d ) and ( 2 of them ) )
}

Cadenas (3 patrones)

IdentificadorTipoValorModificadores
$string_keyhex{ 6C 35 E3 31 1B 23 F9 C9 65 EB F3 07 93 33 F2 A3 }
$resource_keyhex{ 28 99 B6 17 63 33 EE 22 97 97 55 B5 7A C4 E1 A4 }
$strlenWhex{ 33 C0 85 C9 74 17 80 3C 41 00 75 07 80 7C 41 01 00 74 0A 3D 00 94 35 77 73 03 40 EB E9 C3}

Condición

(( uint16( 0 ) == 0x5a4d ) and ( 2 of them ) )

En palabras sencillas (Heurística)

  • El archivo debe empezar por «MZ»: un ejecutable de Windows (PE).
  • Deben coincidir al menos 2 patrones de la regla.

Prueba esta regla en tu navegador

Arrastra un archivo para escanearlo con esta regla usando YARA-X compilado a WebAssembly. No se sube nada.

Arrastra un archivo aquí o haz clic para elegirSe escanea en local con YARA-X. Archivos de hasta 200 MB.

Abrir en el editor

Referencias

Licencia y atribución

Autor: FBI / cywatch@fbi.gov

Repositorio de origen: Costin Raiu yararules @ 23cf0ca220

Licencia: GNU General Public License v3.0 (licencia del repositorio)

Regla original

Obtenida a través de YARA Forge 20260927, que añade a los nombres el prefijo de la fuente y campos meta normalizados.

Id de la regla: 8c80d0d5-8c65-5cef-ad86-b38f4d671bec

Metadatos

yara_version3.7.0

Etiquetas:FILE

Reglas relacionadas

Más reglas de Kwampirs