Saltar al contenido
yararules.org
Menú

YARA · ESET malware-ioc

ESET_Mozi_Killswitch

Mozi botnet kill switch

MalwareESET malware-iocBSD 2-Clause LicenseCompila con YARA-X
Autor
Ivan Besina
Fecha
2023-09-29
Modificada
2023-10-31
Puntuación / Calidad
75 / 80

Qué detecta esta regla

Mozi botnet kill switch

Define 4 patrones (4 de texto, 0 hex, 0 regex).

Resumen generado a partir de los metadatos y la condición de la regla.

Código de la regla

Descargar .yar
mozi-killswitch.yarBSD 2-Clause License
rule ESET_Mozi_Killswitch : FILE
{
	meta:
		description = "Mozi botnet kill switch"
		author = "Ivan Besina"
		id = "e3d34ae0-de06-5ff4-b44b-44d264b6dd29"
		date = "2023-09-29"
		modified = "2023-10-31"
		reference = "https://github.com/eset/malware-ioc/"
		source_url = "https://github.com/eset/malware-ioc/blob/17baf44964a77368e9149f4f593eb098beddf1c5/mozi/mozi.yar#L32-L51"
		license_url = "https://github.com/eset/malware-ioc/blob/17baf44964a77368e9149f4f593eb098beddf1c5/LICENSE"
		logic_hash = "90eaed2f7f5595b145b2678a46ef6179082192215369fa9235024b0ce1574a49"
		score = 75
		quality = 80
		tags = "FILE"
		license = "BSD 2-Clause"
		version = "1"

	strings:
		$iptables1 = "iptables -I INPUT  -p tcp --destination-port 7547 -j DROP"
		$iptables2 = "iptables -I OUTPUT -p tcp --sport 30005 -j DROP"
		$haha = "/haha"
		$networks = "/usr/networks"

	condition:
		all of them and filesize < 500KB
}

Cadenas (4 patrones)

IdentificadorTipoValorModificadores
$iptables1texto"iptables -I INPUT -p tcp --destination-port 7547 -j DROP"
$iptables2texto"iptables -I OUTPUT -p tcp --sport 30005 -j DROP"
$hahatexto"/haha"
$networkstexto"/usr/networks"

Condición

all of them and filesize < 500KB

En palabras sencillas (Heurística)

  • El archivo debe ocupar menos de 500KB (un límite barato que descarta archivos grandes).
  • Deben coincidir todos los patrones de la regla.

Prueba esta regla en tu navegador

Arrastra un archivo para escanearlo con esta regla usando YARA-X compilado a WebAssembly. No se sube nada.

Arrastra un archivo aquí o haz clic para elegirSe escanea en local con YARA-X. Archivos de hasta 200 MB.

Abrir en el editor

Referencias

Licencia y atribución

Autor: Ivan Besina

Repositorio de origen: ESET malware-ioc @ 17baf44964

Licencia: BSD 2-Clause License (indicada en los metadatos de la regla)

“BSD 2-Clause”

Aviso de copyright: Copyright (c) 2014-2018 ESET spol. s r.o.

Regla original

Obtenida a través de YARA Forge 20260927, que añade a los nombres el prefijo de la fuente y campos meta normalizados.

Id de la regla: e3d34ae0-de06-5ff4-b44b-44d264b6dd29

Metadatos

version1

Etiquetas:FILE