Saltar al contenido
yararules.org
Menú

YARA · Signature Base (Florian Roth / Nextron)

SIGNATURE_BASE_EXPL_CVE_2021_40444_Document_Rels_XML

Detects indicators found in weaponized documents that exploit CVE-2021-40444

ExploitSignature Base (Florian Roth / Nextron)Detection Rule License 1.1Compila con YARA-X
Autor
Jeremy Brown / @alteredbytes
Fecha
2021-09-10
Modificada
2023-12-05
Puntuación / Calidad
75 / 85

Qué detecta esta regla

Detects indicators found in weaponized documents that exploit CVE-2021-40444

Define 5 patrones (5 de texto, 0 hex, 0 regex).

Resumen generado a partir de los metadatos y la condición de la regla.

Código de la regla

Descargar .yar
expl-cve-2021-40444-document-rels-xml.yarDetection Rule License 1.1
rule SIGNATURE_BASE_EXPL_CVE_2021_40444_Document_Rels_XML : CVE_2021_40444 FILE
{
	meta:
		description = "Detects indicators found in weaponized documents that exploit CVE-2021-40444"
		author = "Jeremy Brown / @alteredbytes"
		id = "812bb68e-71ea-5a9a-8d39-ab99fdaa6c58"
		date = "2021-09-10"
		modified = "2023-12-05"
		reference = "https://twitter.com/AlteredBytes/status/1435811407249952772"
		source_url = "https://github.com/Neo23x0/signature-base/blob/94a1c48d7ab499879287ff611dfe7f9c56376030/yara/expl_cve_2021_40444.yar#L6-L25"
		license_url = "https://github.com/Neo23x0/signature-base/blob/94a1c48d7ab499879287ff611dfe7f9c56376030/LICENSE"
		logic_hash = "b05c3b33c3cab2c9109d808ed197758bc987f07beee77e1f61094715e0c1a1e7"
		score = 75
		quality = 85
		tags = "CVE-2021-40444, FILE"

	strings:
		$b1 = "/relationships/oleObject" ascii
		$b2 = "/relationships/attachedTemplate" ascii
		$c1 = "Target=\"mhtml:http" nocase
		$c2 = "!x-usc:http" nocase
		$c3 = "TargetMode=\"External\"" nocase

	condition:
		uint32( 0 ) == 0x6D783F3C and filesize < 10KB and 1 of ( $b* ) and all of ( $c* )
}

Cadenas (5 patrones)

IdentificadorTipoValorModificadores
$b1texto"/relationships/oleObject"ascii
$b2texto"/relationships/attachedTemplate"ascii
$c1texto"Target=\"mhtml:http"nocase
$c2texto"!x-usc:http"nocase
$c3texto"TargetMode=\"External\""nocase

Condición

uint32( 0 ) == 0x6D783F3C and filesize < 10KB and 1 of ( $b* ) and all of ( $c* )

En palabras sencillas (Heurística)

  • El archivo debe ocupar menos de 10KB (un límite barato que descarta archivos grandes).
  • Deben coincidir todos los patrones de ( $c* ).
  • Deben coincidir al menos 1 patrones de ( $b* ).

Prueba esta regla en tu navegador

Arrastra un archivo para escanearlo con esta regla usando YARA-X compilado a WebAssembly. No se sube nada.

Arrastra un archivo aquí o haz clic para elegirSe escanea en local con YARA-X. Archivos de hasta 200 MB.

Abrir en el editor

Referencias

Licencia y atribución

Autor: Jeremy Brown / @alteredbytes

Repositorio de origen: Signature Base (Florian Roth / Nextron) @ 94a1c48d7a

Licencia: Detection Rule License 1.1 (licencia del repositorio)

Regla original

Obtenida a través de YARA Forge 20260927, que añade a los nombres el prefijo de la fuente y campos meta normalizados.

Id de la regla: 812bb68e-71ea-5a9a-8d39-ab99fdaa6c58

Etiquetas:CVE_2021_40444FILE

Reglas relacionadas