Saltar al contenido
yararules.org
Menú

YARA · Signature Base (Florian Roth / Nextron)

SIGNATURE_BASE_MAL_APT_NK_WIN_Dtrack_Auto

Detects DTrack variant used by Andariel

MalwareDtrackSignature Base (Florian Roth / Nextron)Detection Rule License 1.1Compila con YARA-X
Autor
CISA.gov
Fecha
2024-07-25
Modificada
2026-01-29
Puntuación / Calidad
75 / 85

Qué detecta esta regla

Detects DTrack variant used by Andariel

Familia de malware asociada: Dtrack.

Define 15 patrones (0 de texto, 15 hex, 0 regex).

Resumen generado a partir de los metadatos y la condición de la regla.

Código de la regla

Descargar .yar
mal-apt-nk-win-dtrack-auto.yarDetection Rule License 1.1
rule SIGNATURE_BASE_MAL_APT_NK_WIN_Dtrack_Auto : FILE
{
	meta:
		description = "Detects DTrack variant used by Andariel"
		author = "CISA.gov"
		id = "1b40c685-beba-50fa-b484-c1526577cb23"
		date = "2024-07-25"
		modified = "2026-01-29"
		reference = "https://www.cisa.gov/news-events/cybersecurity-advisories/aa24-207a"
		source_url = "https://github.com/Neo23x0/signature-base/blob/94a1c48d7ab499879287ff611dfe7f9c56376030/yara/apt_nk_andariel_jul24.yar#L567-L706"
		license_url = "https://github.com/Neo23x0/signature-base/blob/94a1c48d7ab499879287ff611dfe7f9c56376030/LICENSE"
		logic_hash = "2bd68ee6e5f35a9b80c07120beba3fe1f3ba9a9137ee15bb04bb2740381a9a44"
		score = 75
		quality = 85
		tags = "FILE"

	strings:
		$sequence_0 = { 52 8b 45 08 50 e8 ?? ?? ?? ?? 83 c4 14 8b 4d 10 51 }
		$sequence_1 = { 3a 41 01 75 23 83 85 4c f6 ff ff 02 83 85 50 f6 ff ff 02 80 bd 4a f6 ff ff 00 75 ae c7 85 44 f6 ff ff 00 00 00 00 }
		$sequence_2 = { 50 ff 15 ?? ?? ?? ?? a3 ?? ?? ?? ?? 68 ?? ?? ?? ?? e8 ?? ?? ?? ?? 83 c4 04 50 }
		$sequence_3 = { 8d 8d d4 fa ff ff 51 e8 ?? ?? ?? ?? 83 c4 08 8b 15 ?? ?? ?? ?? }
		$sequence_4 = { 88 55 f5 6a 5c 8b 45 0c 50 e8 ?? ?? ?? ?? }
		$sequence_5 = { 51 e8 ?? ?? ?? ?? 83 c4 10 8b 55 8c 52 }
		$sequence_6 = { 8b 4d 0c 51 68 ?? ?? ?? ?? 8d 95 60 ea ff ff 52 e8 ?? ?? ?? ?? }
		$sequence_7 = { 83 c0 01 89 45 f4 83 7d f4 20 7d 2c 8b 4d f8 }
		$sequence_8 = { 83 c0 01 89 85 6c f6 ff ff 8b 8d 70 f6 ff ff 8a 11 }
		$sequence_9 = { 03 55 f0 0f b6 02 0f b6 4d f7 33 c1 0f b6 55 fc 33 c2 }
		$sequence_10 = { d1 e9 89 4d f8 8b 55 18 89 55 fc c7 45 f0 00 00 00 00 }
		$sequence_11 = { 8b 4d f0 3b 4d 10 0f 8d 90 00 00 00 8b 55 08 03 55 f0 0f b6 02 }
		$sequence_12 = { 89 4d 14 8b 45 f8 c1 e0 18 8b 4d fc c1 e9 08 0b c1 }
		$sequence_13 = { 0b c1 89 45 18 8b 55 14 89 55 f8 }
		$sequence_14 = { 8b 55 14 89 55 f8 8b 45 18 89 45 fc e9 ?? ?? ?? ?? 8b e5 }

	condition:
		filesize < 1700KB and 7 of them
}

Cadenas (15 patrones)

IdentificadorTipoValorModificadores
$sequence_0hex{ 52 8b 45 08 50 e8 ?? ?? ?? ?? 83 c4 14 8b 4d 10 51 }
$sequence_1hex{ 3a 41 01 75 23 83 85 4c f6 ff ff 02 83 85 50 f6 ff ff 02 80 bd 4a f6 ff ff 00 75 ae c7 85 44 f6 ff ff 00 00 00 00 }
$sequence_2hex{ 50 ff 15 ?? ?? ?? ?? a3 ?? ?? ?? ?? 68 ?? ?? ?? ?? e8 ?? ?? ?? ?? 83 c4 04 50 }
$sequence_3hex{ 8d 8d d4 fa ff ff 51 e8 ?? ?? ?? ?? 83 c4 08 8b 15 ?? ?? ?? ?? }
$sequence_4hex{ 88 55 f5 6a 5c 8b 45 0c 50 e8 ?? ?? ?? ?? }
$sequence_5hex{ 51 e8 ?? ?? ?? ?? 83 c4 10 8b 55 8c 52 }
$sequence_6hex{ 8b 4d 0c 51 68 ?? ?? ?? ?? 8d 95 60 ea ff ff 52 e8 ?? ?? ?? ?? }
$sequence_7hex{ 83 c0 01 89 45 f4 83 7d f4 20 7d 2c 8b 4d f8 }
$sequence_8hex{ 83 c0 01 89 85 6c f6 ff ff 8b 8d 70 f6 ff ff 8a 11 }
$sequence_9hex{ 03 55 f0 0f b6 02 0f b6 4d f7 33 c1 0f b6 55 fc 33 c2 }
$sequence_10hex{ d1 e9 89 4d f8 8b 55 18 89 55 fc c7 45 f0 00 00 00 00 }
$sequence_11hex{ 8b 4d f0 3b 4d 10 0f 8d 90 00 00 00 8b 55 08 03 55 f0 0f b6 02 }
$sequence_12hex{ 89 4d 14 8b 45 f8 c1 e0 18 8b 4d fc c1 e9 08 0b c1 }
$sequence_13hex{ 0b c1 89 45 18 8b 55 14 89 55 f8 }
$sequence_14hex{ 8b 55 14 89 55 f8 8b 45 18 89 45 fc e9 ?? ?? ?? ?? 8b e5 }

Condición

filesize < 1700KB and 7 of them

En palabras sencillas (Heurística)

  • El archivo debe ocupar menos de 1700KB (un límite barato que descarta archivos grandes).
  • Deben coincidir al menos 7 patrones de la regla.

Prueba esta regla en tu navegador

Arrastra un archivo para escanearlo con esta regla usando YARA-X compilado a WebAssembly. No se sube nada.

Arrastra un archivo aquí o haz clic para elegirSe escanea en local con YARA-X. Archivos de hasta 200 MB.

Abrir en el editor

Referencias

Licencia y atribución

Autor: CISA.gov

Repositorio de origen: Signature Base (Florian Roth / Nextron) @ 94a1c48d7a

Licencia: Detection Rule License 1.1 (licencia del repositorio)

Regla original

Obtenida a través de YARA Forge 20260927, que añade a los nombres el prefijo de la fuente y campos meta normalizados.

Id de la regla: 1b40c685-beba-50fa-b484-c1526577cb23

Etiquetas:FILE

Reglas relacionadas

Más reglas de Dtrack