YARA · SEKOIA.IO Community
SEKOIA_Apt_Kimsuky_Toddlershark_Strings
Detects Kimsuky TODDLERSHARK vbs malware
- Autor
- Sekoia.io
- Fecha
- 2024-03-06
- Modificada
- 2024-12-19
- Puntuación / Calidad
- 75 / 80
Qué detecta esta regla
Detects Kimsuky TODDLERSHARK vbs malware
Familia de malware asociada: Kimsuky.
Define 6 patrones (6 de texto, 0 hex, 0 regex).
Resumen generado a partir de los metadatos y la condición de la regla.
Código de la regla
apt-kimsuky-toddlershark-strings.yarDetection Rule License 1.1
rule SEKOIA_Apt_Kimsuky_Toddlershark_Strings : FILE
{
meta:
= "Detects Kimsuky TODDLERSHARK vbs malware"
= "Sekoia.io"
= "2db1a424-9e83-4168-8ebf-d3b415b6a576"
= "2024-03-06"
= "2024-12-19"
= "https://github.com/SEKOIA-IO/Community"
= "https://github.com/SEKOIA-IO/Community/blob/a438a5901a211c2abdf75da9c93921ef187473d1/yara_rules/apt_kimsuky_toddlershark_strings.yar#L1-L20"
= "https://github.com/SEKOIA-IO/Community/blob/a438a5901a211c2abdf75da9c93921ef187473d1/LICENSE.md"
= "dee9d03f498437dd6d8399975cd91ec44307067ac4642b9ff31df1a6d6b10468"
= 75
= 80
= "FILE"
= "1.0"
= "TLP:CLEAR"
strings:
$ = "On Error Resume Next"
$ = ".open \"POST\", \"http"
$ = ".setRequestHeader"
$ = ".send"
$ = "Execute("
$ = ".responseText)"
condition:
all of them and filesize < 450
}
Cadenas (6 patrones)
| Identificador | Tipo | Valor | Modificadores |
|---|---|---|---|
| $ | texto | "On Error Resume Next" | |
| $ | texto | ".open \"POST\", \"http" | |
| $ | texto | ".setRequestHeader" | |
| $ | texto | ".send" | |
| $ | texto | "Execute(" | |
| $ | texto | ".responseText)" |
Condición
all of them and filesize < 450En palabras sencillas (Heurística)
- El archivo debe ocupar menos de 450 (un límite barato que descarta archivos grandes).
- Deben coincidir todos los patrones de la regla.
Prueba esta regla en tu navegador
Arrastra un archivo para escanearlo con esta regla usando YARA-X compilado a WebAssembly. No se sube nada.
Arrastra un archivo aquí o haz clic para elegirSe escanea en local con YARA-X. Archivos de hasta 200 MB.
Referencias
Licencia y atribución
Autor: Sekoia.io
Repositorio de origen: SEKOIA.IO Community @ a438a5901a
Licencia: Detection Rule License 1.1 (licencia del repositorio)
Obtenida a través de YARA Forge 20260927, que añade a los nombres el prefijo de la fuente y campos meta normalizados.
Id de la regla: 2db1a424-9e83-4168-8ebf-d3b415b6a576
Metadatos
| version | 1.0 |
|---|---|
| classification | TLP:CLEAR |
Etiquetas:FILE
Reglas relacionadas
- APT / actorSEKOIA.IO Community· Sekoia.io· 2024-09-27
- APT / actorSEKOIA.IO Community· Sekoia.io· 2024-09-27
- APT / actorSEKOIA.IO Community· Sekoia.io· 2024-09-23
- APT / actorSEKOIA.IO Community· Sekoia.io· 2024-06-11
- APT / actorSEKOIA.IO Community· Sekoia.io· 2024-03-06
- APT / actorSEKOIA.IO Community· Sekoia.io· 2024-06-11
- APT / actorSEKOIA.IO Community· Sekoia.io· 2024-09-23
- APT / actorSEKOIA.IO Community· Sekoia.io· 2023-09-11