Saltar al contenido
yararules.org
Menú

YARA · ditekSHen detection

DITEKSHEN_MALWARE_Win_Bluebot

Detects BlueBot

MalwareBluebotditekSHen detectionBSD 2-Clause LicenseCompila con YARA-X
Autor
ditekSHen
Fecha
2020-11-06
Modificada
2024-11-01
Puntuación / Calidad
75 / 75

Qué detecta esta regla

Detects BlueBot

Familia de malware asociada: Bluebot.

Objetivos: PE de Windows.

Define 20 patrones (19 de texto, 0 hex, 1 regex).

Resumen generado a partir de los metadatos y la condición de la regla.

Código de la regla

Descargar .yar
malware-win-bluebot.yarBSD 2-Clause License
rule DITEKSHEN_MALWARE_Win_Bluebot : FILE
{
	meta:
		description = "Detects BlueBot"
		author = "ditekSHen"
		id = "cddd40bb-c3c6-5c44-9cb1-480571375be8"
		date = "2020-11-06"
		modified = "2024-11-01"
		reference = "https://github.com/ditekshen/detection"
		source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/malware.yar#L7306-L7333"
		license_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/LICENSE.txt"
		logic_hash = "04a19f649eb2fff7a5bc59ccead80cd0a04c4e5418cbc83e850045dba75b03e0"
		score = 75
		quality = 75
		tags = "FILE"

	strings:
		$x1 = "Blue_Botnet" wide
		$x2 = "5-START-http" ascii
		$x3 = "*300-END-" ascii
		$x4 = "botlogger.php" wide
		$s1 = "//TARGET//" wide
		$s2 = "//BLOG//" wide
		$s3 = "MCBOTALPHA" wide
		$s4 = "//IPLIST//" wide
		$s5 = "Host: //BLOG//" wide
		$s6 = "User-Agent: //USERAGENT//" wide
		$s7 = "<string>//TARGET//</string>" wide
		$s8 = "POST //URL// HTTP/1.1/r/n" wide
		$v1 = "<attack>b__" ascii
		$v2 = "PressData" fullword ascii
		$v3 = "POSTPiece" fullword ascii
		$v4 = /(load|tcp|udp)Stuff/ fullword ascii
		$v5 = "isAttacking" fullword ascii
		$v6 = "DoSAttack" fullword ascii
		$v7 = "prv_attack" fullword ascii
		$v8 = "blogList" fullword ascii

	condition:
		uint16( 0 ) == 0x5a4d and ( 2 of ( $x* ) or 5 of ( $s* ) or 5 of ( $v* ) or 9 of them )
}

Cadenas (20 patrones)

IdentificadorTipoValorModificadores
$x1texto"Blue_Botnet"wide
$x2texto"5-START-http"ascii
$x3texto"*300-END-"ascii
$x4texto"botlogger.php"wide
$s1texto"//TARGET//"wide
$s2texto"//BLOG//"wide
$s3texto"MCBOTALPHA"wide
$s4texto"//IPLIST//"wide
$s5texto"Host: //BLOG//"wide
$s6texto"User-Agent: //USERAGENT//"wide
$s7texto"<string>//TARGET//</string>"wide
$s8texto"POST //URL// HTTP/1.1/r/n"wide
$v1texto"<attack>b__"ascii
$v2texto"PressData"fullword ascii
$v3texto"POSTPiece"fullword ascii
$v4regex/(load|tcp|udp)Stuff/fullword ascii
$v5texto"isAttacking"fullword ascii
$v6texto"DoSAttack"fullword ascii
$v7texto"prv_attack"fullword ascii
$v8texto"blogList"fullword ascii

Condición

uint16( 0 ) == 0x5a4d and ( 2 of ( $x* ) or 5 of ( $s* ) or 5 of ( $v* ) or 9 of them )

En palabras sencillas (Heurística)

  • El archivo debe empezar por «MZ»: un ejecutable de Windows (PE).
  • Deben coincidir al menos 2 patrones de ( $x* ).
  • Deben coincidir al menos 5 patrones de ( $s* ).
  • Deben coincidir al menos 5 patrones de ( $v* ).
  • Deben coincidir al menos 9 patrones de la regla.

Prueba esta regla en tu navegador

Arrastra un archivo para escanearlo con esta regla usando YARA-X compilado a WebAssembly. No se sube nada.

Arrastra un archivo aquí o haz clic para elegirSe escanea en local con YARA-X. Archivos de hasta 200 MB.

Abrir en el editor

Referencias

Licencia y atribución

Autor: ditekSHen

Repositorio de origen: ditekSHen detection @ e76c93dcde

Licencia: BSD 2-Clause License (licencia del repositorio)

Aviso de copyright: Copyright 2021 by ditekSHen (https://github.com/ditekshen/detection).

Regla original

Obtenida a través de YARA Forge 20260927, que añade a los nombres el prefijo de la fuente y campos meta normalizados.

Id de la regla: cddd40bb-c3c6-5c44-9cb1-480571375be8

Etiquetas:FILE

Reglas relacionadas