Saltar al contenido
yararules.org
Menú

YARA · Signature Base (Florian Roth / Nextron)

SIGNATURE_BASE_HKTL_NET_GUID_Lime_RAT

Detects VB.NET red/black-team tools via typelibguid

Herramienta ofensivaLimeratSignature Base (Florian Roth / Nextron)Detection Rule License 1.1Compila con YARA-X
Autor
Arnim Rupp (https://github.com/ruppde)
Fecha
2020-12-30
Modificada
2025-08-15
Puntuación / Calidad
75 / 83

Qué detecta esta regla

Detects VB.NET red/black-team tools via typelibguid

Familia de malware asociada: Limerat.

Objetivos: PE de Windows.

Define 21 patrones (21 de texto, 0 hex, 0 regex).

Resumen generado a partir de los metadatos y la condición de la regla.

Código de la regla

Descargar .yar
hktl-net-guid-lime-rat.yarDetection Rule License 1.1
rule SIGNATURE_BASE_HKTL_NET_GUID_Lime_RAT : FILE
{
	meta:
		description = "Detects VB.NET red/black-team tools via typelibguid"
		author = "Arnim Rupp (https://github.com/ruppde)"
		id = "31a0e9ca-9da1-557a-bcc5-1351fa90a0e1"
		date = "2020-12-30"
		modified = "2025-08-15"
		reference = "https://github.com/NYAN-x-CAT/Lime-RAT"
		source_url = "https://github.com/Neo23x0/signature-base/blob/94a1c48d7ab499879287ff611dfe7f9c56376030/yara/gen_github_net_redteam_tools_guids.yar#L3947-L3980"
		license_url = "https://github.com/Neo23x0/signature-base/blob/94a1c48d7ab499879287ff611dfe7f9c56376030/LICENSE"
		logic_hash = "eee41a29dc6b336c14abedaad767b8a0a529917bbc9096829114f302ed93f53c"
		score = 75
		quality = 83
		tags = "FILE"
		license = "Detection Rule License 1.1 https://github.com/Neo23x0/signature-base/blob/master/LICENSE"

	strings:
		$typelibguid0lo = "e58ac447-ab07-402a-9c96-95e284a76a8d" ascii wide
		$typelibguid1lo = "8fb35dab-73cd-4163-8868-c4dbcbdf0c17" ascii wide
		$typelibguid2lo = "37845f5b-35fe-4dce-bbec-2d07c7904fb0" ascii wide
		$typelibguid3lo = "83c453cf-0d29-4690-b9dc-567f20e63894" ascii wide
		$typelibguid4lo = "8b1f0a69-a930-42e3-9c13-7de0d04a4add" ascii wide
		$typelibguid5lo = "eaaeccf6-75d2-4616-b045-36eea09c8b28" ascii wide
		$typelibguid6lo = "5b2ec674-0aa4-4209-94df-b6c995ad59c4" ascii wide
		$typelibguid7lo = "e2cc7158-aee6-4463-95bf-fb5295e9e37a" ascii wide
		$typelibguid8lo = "d04ecf62-6da9-4308-804a-e789baa5cc38" ascii wide
		$typelibguid9lo = "8026261f-ac68-4ccf-97b2-3b55b7d6684d" ascii wide
		$typelibguid10lo = "212cdfac-51f1-4045-a5c0-6e638f89fce0" ascii wide
		$typelibguid11lo = "c1b608bb-7aed-488d-aa3b-0c96625d26c0" ascii wide
		$typelibguid12lo = "4c84e7ec-f197-4321-8862-d5d18783e2fe" ascii wide
		$typelibguid13lo = "3fc17adb-67d4-4a8d-8770-ecfd815f73ee" ascii wide
		$typelibguid14lo = "f1ab854b-6282-4bdf-8b8b-f2911a008948" ascii wide
		$typelibguid15lo = "aef6547e-3822-4f96-9708-bcf008129b2b" ascii wide
		$typelibguid16lo = "a336f517-bca9-465f-8ff8-2756cfd0cad9" ascii wide
		$typelibguid17lo = "5de018bd-941d-4a5d-bed5-fbdd111aba76" ascii wide
		$typelibguid18lo = "bbfac1f9-cd4f-4c44-af94-1130168494d0" ascii wide
		$typelibguid19lo = "1c79cea1-ebf3-494c-90a8-51691df41b86" ascii wide
		$typelibguid20lo = "927104e1-aa17-4167-817c-7673fe26d46e" ascii wide

	condition:
		( uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 ) and any of them
}

Cadenas (21 patrones)

IdentificadorTipoValorModificadores
$typelibguid0lotexto"e58ac447-ab07-402a-9c96-95e284a76a8d"ascii wide
$typelibguid1lotexto"8fb35dab-73cd-4163-8868-c4dbcbdf0c17"ascii wide
$typelibguid2lotexto"37845f5b-35fe-4dce-bbec-2d07c7904fb0"ascii wide
$typelibguid3lotexto"83c453cf-0d29-4690-b9dc-567f20e63894"ascii wide
$typelibguid4lotexto"8b1f0a69-a930-42e3-9c13-7de0d04a4add"ascii wide
$typelibguid5lotexto"eaaeccf6-75d2-4616-b045-36eea09c8b28"ascii wide
$typelibguid6lotexto"5b2ec674-0aa4-4209-94df-b6c995ad59c4"ascii wide
$typelibguid7lotexto"e2cc7158-aee6-4463-95bf-fb5295e9e37a"ascii wide
$typelibguid8lotexto"d04ecf62-6da9-4308-804a-e789baa5cc38"ascii wide
$typelibguid9lotexto"8026261f-ac68-4ccf-97b2-3b55b7d6684d"ascii wide
$typelibguid10lotexto"212cdfac-51f1-4045-a5c0-6e638f89fce0"ascii wide
$typelibguid11lotexto"c1b608bb-7aed-488d-aa3b-0c96625d26c0"ascii wide
$typelibguid12lotexto"4c84e7ec-f197-4321-8862-d5d18783e2fe"ascii wide
$typelibguid13lotexto"3fc17adb-67d4-4a8d-8770-ecfd815f73ee"ascii wide
$typelibguid14lotexto"f1ab854b-6282-4bdf-8b8b-f2911a008948"ascii wide
$typelibguid15lotexto"aef6547e-3822-4f96-9708-bcf008129b2b"ascii wide
$typelibguid16lotexto"a336f517-bca9-465f-8ff8-2756cfd0cad9"ascii wide
$typelibguid17lotexto"5de018bd-941d-4a5d-bed5-fbdd111aba76"ascii wide
$typelibguid18lotexto"bbfac1f9-cd4f-4c44-af94-1130168494d0"ascii wide
$typelibguid19lotexto"1c79cea1-ebf3-494c-90a8-51691df41b86"ascii wide
$typelibguid20lotexto"927104e1-aa17-4167-817c-7673fe26d46e"ascii wide

Condición

( uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 ) and any of them

En palabras sencillas (Heurística)

  • El archivo debe empezar por «MZ»: un ejecutable de Windows (PE).
  • Debe coincidir al menos un patrón de la regla.

Prueba esta regla en tu navegador

Arrastra un archivo para escanearlo con esta regla usando YARA-X compilado a WebAssembly. No se sube nada.

Arrastra un archivo aquí o haz clic para elegirSe escanea en local con YARA-X. Archivos de hasta 200 MB.

Abrir en el editor

Referencias

Licencia y atribución

Autor: Arnim Rupp (https://github.com/ruppde)

Repositorio de origen: Signature Base (Florian Roth / Nextron) @ 94a1c48d7a

Licencia: Detection Rule License 1.1 (indicada en los metadatos de la regla)

“Detection Rule License 1.1 https://github.com/Neo23x0/signature-base/blob/master/LICENSE”

Regla original

Obtenida a través de YARA Forge 20260927, que añade a los nombres el prefijo de la fuente y campos meta normalizados.

Id de la regla: 31a0e9ca-9da1-557a-bcc5-1351fa90a0e1

Etiquetas:FILE

Reglas relacionadas