YARA · SEKOIA.IO Community
SEKOIA_Apt_Gobrat_2
Detects GobRat related files
- Autor
- Sekoia.io
- Fecha
- 2024-09-10
- Modificada
- 2024-12-19
- Puntuación / Calidad
- 75 / 80
Qué detecta esta regla
Detects GobRat related files
Familia de malware asociada: Gobrat.
Objetivos: ELF de Linux.
Define 2 patrones (2 de texto, 0 hex, 0 regex).
Resumen generado a partir de los metadatos y la condición de la regla.
Código de la regla
apt-gobrat-2.yarDetection Rule License 1.1
rule SEKOIA_Apt_Gobrat_2 : FILE
{
meta:
= "Detects GobRat related files"
= "Sekoia.io"
= "6b7e38f5-00bc-49c8-b34d-3e878bf426d8"
= "2024-09-10"
= "2024-12-19"
= "https://github.com/SEKOIA-IO/Community"
= "https://github.com/SEKOIA-IO/Community/blob/a438a5901a211c2abdf75da9c93921ef187473d1/yara_rules/apt_gobrat_2.yar#L1-L16"
= "https://github.com/SEKOIA-IO/Community/blob/a438a5901a211c2abdf75da9c93921ef187473d1/LICENSE.md"
= "9f2fdbe2cc39c91b2ac8904fb29a0142bf770859d17590017920203641860a13"
= 75
= 80
= "FILE"
= "1.0"
= "TLP:CLEAR"
strings:
$ = "thisisweird" ascii
$ = "ZzZzZzZzZzZz"
condition:
all of them and uint32be( 0 ) == 0x7f454c46
}
Cadenas (2 patrones)
| Identificador | Tipo | Valor | Modificadores |
|---|---|---|---|
| $ | texto | "thisisweird" | ascii |
| $ | texto | "ZzZzZzZzZzZz" |
Condición
all of them and uint32be( 0 ) == 0x7f454c46En palabras sencillas (Heurística)
- El archivo debe empezar por la cabecera ELF: un ejecutable de Linux/Unix.
- Deben coincidir todos los patrones de la regla.
Prueba esta regla en tu navegador
Arrastra un archivo para escanearlo con esta regla usando YARA-X compilado a WebAssembly. No se sube nada.
Arrastra un archivo aquí o haz clic para elegirSe escanea en local con YARA-X. Archivos de hasta 200 MB.
Referencias
Licencia y atribución
Autor: Sekoia.io
Repositorio de origen: SEKOIA.IO Community @ a438a5901a
Licencia: Detection Rule License 1.1 (licencia del repositorio)
Obtenida a través de YARA Forge 20260927, que añade a los nombres el prefijo de la fuente y campos meta normalizados.
Id de la regla: 6b7e38f5-00bc-49c8-b34d-3e878bf426d8
Metadatos
| version | 1.0 |
|---|---|
| classification | TLP:CLEAR |
Etiquetas:FILE
Reglas relacionadas
- MalwareSEKOIA.IO Community· Sekoia.io· 2023-06-09
- MalwareditekSHen detection· ditekSHen· 2020-11-06
- APT / actorSEKOIA.IO Community· Sekoia.io· 2024-10-21
- APT / actorSEKOIA.IO Community· Sekoia.io· 2024-10-21
- APT / actorSEKOIA.IO Community· Sekoia.io· 2024-09-27
- APT / actorSEKOIA.IO Community· Sekoia.io· 2024-09-27
- APT / actorSEKOIA.IO Community· Sekoia.io· 2024-09-23
- APT / actorSEKOIA.IO Community· Sekoia.io· 2024-06-11