YARA · Signature Base (Florian Roth / Nextron)

SIGNATURE_BASE_APT_MAL_RU_WIN_Snake_Malware_May23_1

Hunting Russian Intelligence Snake Malware

APT / actorWindows Malware SnakeSignature Base (Florian Roth / Nextron)MIT LicenseCompila con YARA-X (con avisos)

Autor: Matt Suiche (Magnet Forensics)
Fecha: 2023-05-10
Modificada: 2025-03-21
Puntuación / Calidad: 70 / 71

Qué detecta esta regla

Hunting Russian Intelligence Snake Malware

Familia de malware asociada: Windows Malware Snake.

Define 7 patrones (0 de texto, 7 hex, 0 regex).

YARA-X dice: warning[text_as_hex]: hex pattern could be written as text literal

Resumen generado a partir de los metadatos y la condición de la regla.

Código de la regla

Descargar .yar

apt-mal-ru-win-snake-malware-may23-1.yarMIT License

rule SIGNATURE_BASE_APT_MAL_RU_WIN_Snake_Malware_May23_1 : MEMORY
{
	meta:
		description = "Hunting Russian Intelligence Snake Malware"
		author = "Matt Suiche (Magnet Forensics)"
		id = "53d2de3c-350c-5090-84bb-b6cde16a80ad"
		date = "2023-05-10"
		modified = "2025-03-21"
		reference = "https://media.defense.gov/2023/May/09/2003218554/-1/-1/0/JOINT_CSA_HUNTING_RU_INTEL_SNAKE_MALWARE_20230509.PDF"
		source_url = "https://github.com/Neo23x0/signature-base/blob/94a1c48d7ab499879287ff611dfe7f9c56376030/yara/apt_mal_ru_snake_may23.yar#L17-L42"
		license_url = "https://github.com/Neo23x0/signature-base/blob/94a1c48d7ab499879287ff611dfe7f9c56376030/LICENSE"
		logic_hash = "7cff7152259bb17a9b72b91f0fbef220aad2f35a1d2758d7225316a9896bf845"
		score = 70
		quality = 71
		tags = "MEMORY"
		threat_name = "Windows.Malware.Snake"
		scan_context = "memory"
		license = "MIT"

	strings:
		$a = { 25 73 23 31 }
		$b = { 25 73 23 32 }
		$c = { 25 73 23 33 }
		$d = { 25 73 23 34 }
		$e = { 2e 74 6d 70 }
		$g = { 2e 73 61 76 }
		$h = { 2e 75 70 64 }

	condition:
		all of them
}

Cadenas (7 patrones)

Identificador	Tipo	Valor
$a	hex	{ 25 73 23 31 }
$b	hex	{ 25 73 23 32 }
$c	hex	{ 25 73 23 33 }
$d	hex	{ 25 73 23 34 }
$e	hex	{ 2e 74 6d 70 }
$g	hex	{ 2e 73 61 76 }
$h	hex	{ 2e 75 70 64 }

Condición

all of them

En palabras sencillas (Heurística)

Deben coincidir todos los patrones de la regla.

Prueba esta regla en tu navegador

Arrastra un archivo para escanearlo con esta regla usando YARA-X compilado a WebAssembly. No se sube nada.

Arrastra un archivo aquí o haz clic para elegirSe escanea en local con YARA-X. Archivos de hasta 200 MB.

Abrir en el editor

Referencias

https://media.defense.gov/2023/May/09/2003218554/-1/-1/0/JOINT_CSA_HUNTING_RU_INTEL_SNAKE_MALWARE_20230509.PDF

Licencia y atribución

Autor: Matt Suiche (Magnet Forensics)

Repositorio de origen: Signature Base (Florian Roth / Nextron) @ 94a1c48d7a

Licencia: MIT License (indicada en los metadatos de la regla)

“MIT”

Regla original

Obtenida a través de YARA Forge 20260927, que añade a los nombres el prefijo de la fuente y campos meta normalizados.

Id de la regla: 53d2de3c-350c-5090-84bb-b6cde16a80ad

Metadatos

threat_name	Windows.Malware.Snake
scan_context	memory

Etiquetas:MEMORY