Saltar al contenido
yararules.org
Menú

YARA · Signature Base (Florian Roth / Nextron)

SIGNATURE_BASE_APT_MAL_BKA_Goldenspy_Aug20_1

Detects variants of GoldenSpy Malware

APT / actorGoldenspySignature Base (Florian Roth / Nextron)Detection Rule License 1.1Compila con YARA-X
Autor
BKA
Fecha
2020-08-21
Modificada
2023-12-05
Puntuación / Calidad
75 / 85

Qué detecta esta regla

Detects variants of GoldenSpy Malware

Familia de malware asociada: Goldenspy.

Objetivos: PE de Windows.

Define 8 patrones (7 de texto, 1 hex, 0 regex).

Resumen generado a partir de los metadatos y la condición de la regla.

Código de la regla

Descargar .yar
apt-mal-bka-goldenspy-aug20-1.yarDetection Rule License 1.1
rule SIGNATURE_BASE_APT_MAL_BKA_Goldenspy_Aug20_1 : FILE
{
	meta:
		description = "Detects variants of GoldenSpy Malware"
		author = "BKA"
		id = "4f47087e-6e68-53ff-9446-72a1751da359"
		date = "2020-08-21"
		modified = "2023-12-05"
		reference = "https://www.bka.de/SharedDocs/Kurzmeldungen/DE/Warnhinweise/200821_Cyberspionage.html"
		source_url = "https://github.com/Neo23x0/signature-base/blob/94a1c48d7ab499879287ff611dfe7f9c56376030/yara/apt_goldenspy.yar#L1-L19"
		license_url = "https://github.com/Neo23x0/signature-base/blob/94a1c48d7ab499879287ff611dfe7f9c56376030/LICENSE"
		logic_hash = "ba81a2b081842aaf06bbf623640a87946894df83fd0d7b7149c48afa8ed0a081"
		score = 75
		quality = 85
		tags = "FILE"

	strings:
		$str01 = {c78510ffffff00000000 c78514ffffff0f000000 c68500ffffff00 c78528ffffff00000000 c7852cffffff0f000000 c68518ffffff00 c78540ffffff00000000 c78544ffffff0f000000 c68530ffffff00 c645fc14 80bd04feffff00}
		$str02 = "Ryeol HTTP Client Class" ascii
		$str03 = "----RYEOL-FB3B405B7EAE495aB0C0295C54D4E096-" ascii
		$str04 = "SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\App Paths\\fwkp.exe" ascii
		$str05 = "svmm" ascii
		$str06 = "PROTOCOL_" ascii
		$str07 = "softList" ascii
		$str08 = "excuteExe" ascii

	condition:
		uint16( 0 ) == 0x5A4D and 5 of ( $str* )
}

Cadenas (8 patrones)

IdentificadorTipoValorModificadores
$str01hex{c78510ffffff00000000 c78514ffffff0f000000 c68500ffffff00 c78528ffffff00000000 c7852cffffff0f000000 c68518ffffff00 c78540ffffff00000000 c78544ffffff0f000000 c68 …
$str02texto"Ryeol HTTP Client Class"ascii
$str03texto"----RYEOL-FB3B405B7EAE495aB0C0295C54D4E096-"ascii
$str04texto"SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\App Paths\\fwkp.exe"ascii
$str05texto"svmm"ascii
$str06texto"PROTOCOL_"ascii
$str07texto"softList"ascii
$str08texto"excuteExe"ascii

Condición

uint16( 0 ) == 0x5A4D and 5 of ( $str* )

En palabras sencillas (Heurística)

  • El archivo debe empezar por «MZ»: un ejecutable de Windows (PE).
  • Deben coincidir al menos 5 patrones de ( $str* ).

Prueba esta regla en tu navegador

Arrastra un archivo para escanearlo con esta regla usando YARA-X compilado a WebAssembly. No se sube nada.

Arrastra un archivo aquí o haz clic para elegirSe escanea en local con YARA-X. Archivos de hasta 200 MB.

Abrir en el editor

Referencias

Licencia y atribución

Autor: BKA

Repositorio de origen: Signature Base (Florian Roth / Nextron) @ 94a1c48d7a

Licencia: Detection Rule License 1.1 (licencia del repositorio)

Regla original

Obtenida a través de YARA Forge 20260927, que añade a los nombres el prefijo de la fuente y campos meta normalizados.

Id de la regla: 4f47087e-6e68-53ff-9446-72a1751da359

Etiquetas:FILE

Reglas relacionadas