YARA · SEKOIA.IO Community
SEKOIA_Apt_Kimsuky_Sharpext_Devtoolmodule_Strings
Detects the DevTool module used by SharpExt
- Autor
- Sekoia.io
- Fecha
- 2022-07-29
- Modificada
- 2024-12-19
- Puntuación / Calidad
- 75 / 80
Qué detecta esta regla
Detects the DevTool module used by SharpExt
Familia de malware asociada: Kimsuky.
Define 3 patrones (3 de texto, 0 hex, 0 regex).
Resumen generado a partir de los metadatos y la condición de la regla.
Código de la regla
apt-kimsuky-sharpext-devtoolmodule-strings.yarDetection Rule License 1.1
rule SEKOIA_Apt_Kimsuky_Sharpext_Devtoolmodule_Strings : FILE
{
meta:
= "Detects the DevTool module used by SharpExt"
= "Sekoia.io"
= "6f589a9c-344a-4ddc-929e-f123a2c3c187"
= "2022-07-29"
= "2024-12-19"
= "https://github.com/SEKOIA-IO/Community"
= "https://github.com/SEKOIA-IO/Community/blob/a438a5901a211c2abdf75da9c93921ef187473d1/yara_rules/apt_kimsuky_sharpext_devtoolmodule_strings.yar#L1-L17"
= "https://github.com/SEKOIA-IO/Community/blob/a438a5901a211c2abdf75da9c93921ef187473d1/LICENSE.md"
= "61007801d28636c6d88b14225f34910d03e82337520257637a5017d58600b2bc"
= 75
= 80
= "FILE"
= "1.0"
= "TLP:CLEAR"
strings:
$ = "packetProc = function" ascii fullword
$ = "var url = request.request.url" ascii fullword
$ = "https://mail" ascii fullword
condition:
all of them and filesize < 50KB
}
Cadenas (3 patrones)
| Identificador | Tipo | Valor | Modificadores |
|---|---|---|---|
| $ | texto | "packetProc = function" | ascii fullword |
| $ | texto | "var url = request.request.url" | ascii fullword |
| $ | texto | "https://mail" | ascii fullword |
Condición
all of them and filesize < 50KBEn palabras sencillas (Heurística)
- El archivo debe ocupar menos de 50KB (un límite barato que descarta archivos grandes).
- Deben coincidir todos los patrones de la regla.
Prueba esta regla en tu navegador
Arrastra un archivo para escanearlo con esta regla usando YARA-X compilado a WebAssembly. No se sube nada.
Arrastra un archivo aquí o haz clic para elegirSe escanea en local con YARA-X. Archivos de hasta 200 MB.
Referencias
Licencia y atribución
Autor: Sekoia.io
Repositorio de origen: SEKOIA.IO Community @ a438a5901a
Licencia: Detection Rule License 1.1 (licencia del repositorio)
Obtenida a través de YARA Forge 20260927, que añade a los nombres el prefijo de la fuente y campos meta normalizados.
Id de la regla: 6f589a9c-344a-4ddc-929e-f123a2c3c187
Metadatos
| version | 1.0 |
|---|---|
| classification | TLP:CLEAR |
Etiquetas:FILE
Reglas relacionadas
- APT / actorSEKOIA.IO Community· Sekoia.io· 2024-09-27
- APT / actorSEKOIA.IO Community· Sekoia.io· 2024-09-27
- APT / actorSEKOIA.IO Community· Sekoia.io· 2024-09-23
- APT / actorSEKOIA.IO Community· Sekoia.io· 2024-06-11
- APT / actorSEKOIA.IO Community· Sekoia.io· 2024-03-06
- APT / actorSEKOIA.IO Community· Sekoia.io· 2024-03-06
- APT / actorSEKOIA.IO Community· Sekoia.io· 2024-06-11
- APT / actorSEKOIA.IO Community· Sekoia.io· 2024-09-23