YARA · SEKOIA.IO Community

SEKOIA_Koi_Koiloader

Detects Koi Loader

MalwareKoiloaderSEKOIA.IO CommunityDetection Rule License 1.1Compila con YARA-X

Autor: Sekoia.io
Fecha: 2024-03-20
Modificada: 2024-12-19
Puntuación / Calidad: 75 / 80

Qué detecta esta regla

Detects Koi Loader

Familia de malware asociada: Koiloader.

Objetivos: PE de Windows.

Define 4 patrones (4 de texto, 0 hex, 0 regex).

Resumen generado a partir de los metadatos y la condición de la regla.

Código de la regla

Descargar .yar

koi-koiloader.yarDetection Rule License 1.1

rule SEKOIA_Koi_Koiloader : FILE
{
	meta:
		description = "Detects Koi Loader"
		author = "Sekoia.io"
		id = "b8289d78-42de-4919-b2c5-3c926ddd8043"
		date = "2024-03-20"
		modified = "2024-12-19"
		reference = "https://github.com/SEKOIA-IO/Community"
		source_url = "https://github.com/SEKOIA-IO/Community/blob/a438a5901a211c2abdf75da9c93921ef187473d1/yara_rules/koi_koiloader.yar#L1-L19"
		license_url = "https://github.com/SEKOIA-IO/Community/blob/a438a5901a211c2abdf75da9c93921ef187473d1/LICENSE.md"
		logic_hash = "7b4f12b0dec3927a46db1c8b2163e54a0a515d2b7360ba94647097fecf3d4653"
		score = 75
		quality = 80
		tags = "FILE"
		version = "1.0"
		classification = "TLP:CLEAR"

	strings:
		$s2 = "%d|%s|%.16s|" ascii wide
		$s3 = "Release" ascii wide
		$s4 = "%s|%d.%d (%d)|%S|%S|%S" ascii wide
		$s5 = "InitiateSystemShutdownExW" ascii wide

	condition:
		uint16be( 0 ) == 0x4d5a and filesize < 11MB and all of them
}

Cadenas (4 patrones)

Identificador	Tipo	Valor	Modificadores
$s2	texto	"%d\|%s\|%.16s\|"	ascii wide
$s3	texto	"Release"	ascii wide
$s4	texto	"%s\|%d.%d (%d)\|%S\|%S\|%S"	ascii wide
$s5	texto	"InitiateSystemShutdownExW"	ascii wide

Condición

uint16be( 0 ) == 0x4d5a and filesize < 11MB and all of them

En palabras sencillas (Heurística)

El archivo debe empezar por «MZ»: un ejecutable de Windows (PE).
El archivo debe ocupar menos de 11MB (un límite barato que descarta archivos grandes).
Deben coincidir todos los patrones de la regla.

Prueba esta regla en tu navegador

Arrastra un archivo para escanearlo con esta regla usando YARA-X compilado a WebAssembly. No se sube nada.

Arrastra un archivo aquí o haz clic para elegirSe escanea en local con YARA-X. Archivos de hasta 200 MB.

Abrir en el editor

Referencias

https://github.com/SEKOIA-IO/Community

Licencia y atribución

Autor: Sekoia.io

Repositorio de origen: SEKOIA.IO Community @ a438a5901a

Licencia: Detection Rule License 1.1 (licencia del repositorio)

Regla original

Obtenida a través de YARA Forge 20260927, que añade a los nombres el prefijo de la fuente y campos meta normalizados.

Id de la regla: b8289d78-42de-4919-b2c5-3c926ddd8043

Metadatos

version	1.0
classification	TLP:CLEAR

Etiquetas:FILE

SEKOIA_Koi_Netstealer
MalwareSEKOIA.IO Community· Sekoia.io· 2024-03-20
SEKOIA_Koiloader_Lnk
MalwareSEKOIA.IO Community· Sekoia.io· 2024-03-20
SEKOIA_Koiloader_Powershell_Reflective_Loading
MalwareSEKOIA.IO Community· Sekoia.io· 2024-03-20
MALPEDIA_Win_Koiloader_Auto
MalwareMalpedia signator rules· Felix Bilstein - yara-signator at cocacoding dot com· 2026-05-04
CAPE_Koiloader
MalwareCAPE Sandbox (CAPEv2)· YungBinary· 2024-10-25
RUSSIANPANDA_Win_Mal_Koi_LoaderSolo metadatos
MalwareRussianPanda· RussianPanda· 2024-04-04
RUSSIANPANDA_Win_Mal_Koi_Loader_DecryptedSolo metadatos
MalwareRussianPanda· RussianPanda· 2024-04-04
SEKOIA_Downloader_Kimsuky_Lnk
MalwareSEKOIA.IO Community· Sekoia.io· 2024-07-16

Más reglas de Koiloader