Saltar al contenido
yararules.org
Menú

YARA · Mandiant red team tool countermeasures

FIREEYE_RT_Methodology_OLE_CHARENCODING_2

Looking for suspicious char encoding

Sospechoso / huntingMandiant red team tool countermeasuresBSD 2-Clause LicenseCompila con YARA-X
Autor
FireEye
Fecha
2020-12-08
Modificada
2020-12-09
Puntuación / Calidad
65 / 75

Qué detecta esta regla

Looking for suspicious char encoding

Objetivos: OLE / Office antiguo.

Define 9 patrones (9 de texto, 0 hex, 0 regex).

Resumen generado a partir de los metadatos y la condición de la regla.

Código de la regla

Descargar .yar
methodology-ole-charencoding-2.yarBSD 2-Clause License
rule FIREEYE_RT_Methodology_OLE_CHARENCODING_2 : FILE
{
	meta:
		description = "Looking for suspicious char encoding"
		author = "FireEye"
		id = "7abd1a11-7a55-50ac-aa6b-537e7c59a5ab"
		date = "2020-12-08"
		modified = "2020-12-09"
		reference = "https://github.com/mandiant/red_team_tool_countermeasures/"
		source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/SINFULOFFICE/supplemental/yara/Methodology_OLE_CHARENCODING_2.yar#L4-L23"
		license_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/LICENSE.txt"
		hash = "41b70737fa8dda75d5e95c82699c2e9b"
		logic_hash = "20843295531dfd88934fe0902a5101c5c0828e82df3289d7f263f16df9c92324"
		score = 65
		quality = 75
		tags = "FILE"
		rev = 4

	strings:
		$echo1 = "101;99;104;111;32;111;102;102;" ascii wide
		$echo2 = "101:99:104:111:32:111:102:102:" ascii wide
		$echo3 = "101x99x104x111x32x111x102x102x" ascii wide
		$pe1 = "77;90;144;" ascii wide
		$pe2 = "77:90:144:" ascii wide
		$pe3 = "77x90x144x" ascii wide
		$pk1 = "80;75;3;4;" ascii wide
		$pk2 = "80:75:3:4:" ascii wide
		$pk3 = "80x75x3x4x" ascii wide

	condition:
		( uint32( 0 ) == 0xe011cfd0 ) and filesize < 10MB and any of them
}

Cadenas (9 patrones)

IdentificadorTipoValorModificadores
$echo1texto"101;99;104;111;32;111;102;102;"ascii wide
$echo2texto"101:99:104:111:32:111:102:102:"ascii wide
$echo3texto"101x99x104x111x32x111x102x102x"ascii wide
$pe1texto"77;90;144;"ascii wide
$pe2texto"77:90:144:"ascii wide
$pe3texto"77x90x144x"ascii wide
$pk1texto"80;75;3;4;"ascii wide
$pk2texto"80:75:3:4:"ascii wide
$pk3texto"80x75x3x4x"ascii wide

Condición

( uint32( 0 ) == 0xe011cfd0 ) and filesize < 10MB and any of them

En palabras sencillas (Heurística)

  • El archivo debe empezar por la cabecera OLE: documentos de Office antiguos, MSI.
  • El archivo debe ocupar menos de 10MB (un límite barato que descarta archivos grandes).
  • Debe coincidir al menos un patrón de la regla.

Prueba esta regla en tu navegador

Arrastra un archivo para escanearlo con esta regla usando YARA-X compilado a WebAssembly. No se sube nada.

Arrastra un archivo aquí o haz clic para elegirSe escanea en local con YARA-X. Archivos de hasta 200 MB.

Abrir en el editor

Referencias

Hashes de muestras

Hashes de las muestras que el autor lista en los metadatos de la regla (búscalos en tu plataforma de threat intelligence).

  • 41b70737fa8dda75d5e95c82699c2e9b

Licencia y atribución

Autor: FireEye

Repositorio de origen: Mandiant red team tool countermeasures @ 3561b71724

Licencia: BSD 2-Clause License (licencia del repositorio)

Aviso de copyright: Copyright (c) 2023, MANDIANT

Regla original

Obtenida a través de YARA Forge 20260927, que añade a los nombres el prefijo de la fuente y campos meta normalizados.

Id de la regla: 7abd1a11-7a55-50ac-aa6b-537e7c59a5ab

Metadatos

rev4

Etiquetas:FILE

Reglas relacionadas