Saltar al contenido
yararules.org
Menú

YARA · Signature Base (Florian Roth / Nextron)

SIGNATURE_BASE_HKTL_Meterpreter_Inmemory

Detects Meterpreter in-memory

Herramienta ofensivaMeterpreterSignature Base (Florian Roth / Nextron)Detection Rule License 1.1Compila con YARA-X
Autor
netbiosX, Florian Roth
Fecha
2020-06-29
Modificada
2023-04-21
Puntuación / Calidad
85 / 85

Qué detecta esta regla

Detects Meterpreter in-memory

Familia de malware asociada: Meterpreter.

Define 7 patrones (6 de texto, 1 hex, 0 regex).

Resumen generado a partir de los metadatos y la condición de la regla.

Código de la regla

Descargar .yar
hktl-meterpreter-inmemory.yarDetection Rule License 1.1
rule SIGNATURE_BASE_HKTL_Meterpreter_Inmemory
{
	meta:
		description = "Detects Meterpreter in-memory"
		author = "netbiosX, Florian Roth"
		id = "29c3bb7e-4da8-5924-ada7-2f28d9352009"
		date = "2020-06-29"
		modified = "2023-04-21"
		reference = "https://www.reddit.com/r/purpleteamsec/comments/hjux11/meterpreter_memory_indicators_detection_tooling/"
		source_url = "https://github.com/Neo23x0/signature-base/blob/94a1c48d7ab499879287ff611dfe7f9c56376030/yara/gen_metasploit_payloads.yar#L341-L363"
		license_url = "https://github.com/Neo23x0/signature-base/blob/94a1c48d7ab499879287ff611dfe7f9c56376030/LICENSE"
		logic_hash = "4b39dbcb276842a1306205cf2e51ce86b6d2aa21353d277df15f4ea3b3d97678"
		score = 85
		quality = 85
		tags = ""

	strings:
		$sxc1 = { 6D 65 74 73 72 76 2E 64 6C 6C 00 00 52 65 66 6C 
               65 63 74 69 76 65 4C 6F 61 64 65 72 }
		$sxs1 = "metsrv.x64.dll" ascii fullword
		$ss1 = "WS2_32.dll" ascii fullword
		$ss2 = "ReflectiveLoader" ascii fullword
		$fp1 = "SentinelOne" ascii wide
		$fp2 = "fortiESNAC" ascii wide
		$fp3 = "PSNMVHookMS" ascii wide

	condition:
		(1 of ( $sx* ) or 2 of ( $s* ) ) and not 1 of ( $fp* )
}

Cadenas (7 patrones)

IdentificadorTipoValorModificadores
$sxc1hex{ 6D 65 74 73 72 76 2E 64 6C 6C 00 00 52 65 66 6C 65 63 74 69 76 65 4C 6F 61 64 65 72 }
$sxs1texto"metsrv.x64.dll"ascii fullword
$ss1texto"WS2_32.dll"ascii fullword
$ss2texto"ReflectiveLoader"ascii fullword
$fp1texto"SentinelOne"ascii wide
$fp2texto"fortiESNAC"ascii wide
$fp3texto"PSNMVHookMS"ascii wide

Condición

(1 of ( $sx* ) or 2 of ( $s* ) ) and not 1 of ( $fp* )

En palabras sencillas (Heurística)

  • Deben coincidir al menos 1 patrones de ( $sx* ).
  • Deben coincidir al menos 2 patrones de ( $s* ).
  • Deben coincidir al menos 1 patrones de ( $fp* ).

Prueba esta regla en tu navegador

Arrastra un archivo para escanearlo con esta regla usando YARA-X compilado a WebAssembly. No se sube nada.

Arrastra un archivo aquí o haz clic para elegirSe escanea en local con YARA-X. Archivos de hasta 200 MB.

Abrir en el editor

Referencias

Licencia y atribución

Autor: netbiosX, Florian Roth

Repositorio de origen: Signature Base (Florian Roth / Nextron) @ 94a1c48d7a

Licencia: Detection Rule License 1.1 (licencia del repositorio)

Regla original

Obtenida a través de YARA Forge 20260927, que añade a los nombres el prefijo de la fuente y campos meta normalizados.

Id de la regla: 29c3bb7e-4da8-5924-ada7-2f28d9352009

Reglas relacionadas

Más reglas de Meterpreter