YARA · Signature Base (Florian Roth / Nextron)

SIGNATURE_BASE_MAL_Information_Collector_May26

Detects reconaissance payload used in the DAEMON Tools supplychain compromise. The tools collects detailed information about the infected system like hardware, installed software, running processes etc. all data is exfilled to an attacker controlled server.

MalwareSignature Base (Florian Roth / Nextron)Detection Rule License 1.1Compila con YARA-X

Autor: MalGamy, Jonathan Peters (cod3nym)
Fecha: 2026-05-05
Modificada: 2026-05-15
Puntuación / Calidad: 80 / 85

Qué detecta esta regla

Objetivos: PE de Windows.

Define 6 patrones (4 de texto, 2 hex, 0 regex).

Resumen generado a partir de los metadatos y la condición de la regla.

Código de la regla

Descargar .yar

mal-information-collector-may26.yarDetection Rule License 1.1

rule SIGNATURE_BASE_MAL_Information_Collector_May26 : FILE
{
	meta:
		description = "Detects reconaissance payload used in the DAEMON Tools supplychain compromise. The tools collects detailed information about the infected system like hardware, installed software, running processes etc. all data is exfilled to an attacker controlled server."
		author = "MalGamy, Jonathan Peters (cod3nym)"
		id = "97bfe7ef-ba23-550c-a6bf-412c759eec91"
		date = "2026-05-05"
		modified = "2026-05-15"
		reference = "https://securelist.com/tr/daemon-tools-backdoor/119654/"
		source_url = "https://github.com/Neo23x0/signature-base/blob/94a1c48d7ab499879287ff611dfe7f9c56376030/yara/threat_compromised_daemon_tools_lite_may26.yar#L1-L27"
		license_url = "https://github.com/Neo23x0/signature-base/blob/94a1c48d7ab499879287ff611dfe7f9c56376030/LICENSE"
		hash = "a916e56121212613d17932e124b68752c9312e73bde8f2351054bd64394257df"
		logic_hash = "fe05c931037eb62a78f4f696a2697b44672751538eadd37ff20379d9bdd4f013"
		score = 80
		quality = 85
		tags = "FILE"

	strings:
		$x1 = ": InfoCollector.exe <" wide
		$s1 = "CollectInstalledSoftwareSemicolon" ascii
		$s2 = "GetRc4KeyFromUrl" ascii
		$s3 = "InfoGatherer" ascii
		$op1 = { 09 7E ?? ?? ?? 04 28 ?? ?? ?? 0A 28 ?? ?? ?? 0A 13 ?? 11 ?? 16 36 3A 11 ?? 1E 35 ?? 1E 8D ?? ?? ?? 01 13 ?? 09 7E ?? ?? ?? 04 28 ?? ?? ?? 0A 11 ?? 16 11 ?? 28 ?? ?? ?? 0A }
		$op2 = { 02 73 ?? ?? ?? 0A 6F ?? ?? ?? 0A 0A 06 2D ?? 72 ?? ?? ?? 70 0B DE ?? 06 6F ?? ?? ?? 0A 0A 06 72 ?? ?? ?? 70 7E ?? ?? ?? 0A 6F ?? ?? ?? 0A 0A 06 6F ?? ?? ?? 0A 2D ?? 72 ?? ?? ?? 70 0B DE ?? 06 0B DE }

	condition:
		uint16( 0 ) == 0x5a4d and filesize < 50KB and ( $x1 or all of ( $op* ) or all of ( $s* ) )
}

Cadenas (6 patrones)

Identificador	Tipo	Valor	Modificadores
$x1	texto	": InfoCollector.exe <"	wide
$s1	texto	"CollectInstalledSoftwareSemicolon"	ascii
$s2	texto	"GetRc4KeyFromUrl"	ascii
$s3	texto	"InfoGatherer"	ascii
$op1	hex	{ 09 7E ?? ?? ?? 04 28 ?? ?? ?? 0A 28 ?? ?? ?? 0A 13 ?? 11 ?? 16 36 3A 11 ?? 1E 35 ?? 1E 8D ?? ?? ?? 01 13 ?? 09 7E ?? ?? ?? 04 28 ?? ?? ?? 0A 11 ?? 16 11 ?? 28 …
$op2	hex	{ 02 73 ?? ?? ?? 0A 6F ?? ?? ?? 0A 0A 06 2D ?? 72 ?? ?? ?? 70 0B DE ?? 06 6F ?? ?? ?? 0A 0A 06 72 ?? ?? ?? 70 7E ?? ?? ?? 0A 6F ?? ?? ?? 0A 0A 06 6F ?? ?? ?? 0A …

Condición

uint16( 0 ) == 0x5a4d and filesize < 50KB and ( $x1 or all of ( $op* ) or all of ( $s* ) )

En palabras sencillas (Heurística)

El archivo debe empezar por «MZ»: un ejecutable de Windows (PE).
El archivo debe ocupar menos de 50KB (un límite barato que descarta archivos grandes).
Deben coincidir todos los patrones de ( $op* ).
Deben coincidir todos los patrones de ( $s* ).
El patrón $x1 debe estar presente.

Prueba esta regla en tu navegador

Arrastra un archivo para escanearlo con esta regla usando YARA-X compilado a WebAssembly. No se sube nada.

Arrastra un archivo aquí o haz clic para elegirSe escanea en local con YARA-X. Archivos de hasta 200 MB.

Abrir en el editor

Referencias

https://securelist.com/tr/daemon-tools-backdoor/119654/

Hashes de muestras

Hashes de las muestras que el autor lista en los metadatos de la regla (búscalos en tu plataforma de threat intelligence).

a916e56121212613d17932e124b68752c9312e73bde8f2351054bd64394257df

Licencia y atribución

Autor: MalGamy, Jonathan Peters (cod3nym)

Repositorio de origen: Signature Base (Florian Roth / Nextron) @ 94a1c48d7a

Licencia: Detection Rule License 1.1 (licencia del repositorio)

Regla original

Obtenida a través de YARA Forge 20260927, que añade a los nombres el prefijo de la fuente y campos meta normalizados.

Id de la regla: 97bfe7ef-ba23-550c-a6bf-412c759eec91

Etiquetas:FILE