YARA · Signature Base (Florian Roth / Nextron)

SIGNATURE_BASE_MAL_NET_Katz_Stealer_Loader_May25

Detects .NET based Katz stealer loader

MalwareKatz StealerSignature Base (Florian Roth / Nextron)Detection Rule License 1.1Compila con YARA-X

Autor: Jonathan Peters (cod3nym)
Fecha: 2025-05-21
Modificada: 2026-05-15
Puntuación / Calidad: 80 / 85

Qué detecta esta regla

Detects .NET based Katz stealer loader

Familia de malware asociada: Katz Stealer.

Define 7 patrones (6 de texto, 1 hex, 0 regex).

Resumen generado a partir de los metadatos y la condición de la regla.

Código de la regla

Descargar .yar

mal-net-katz-stealer-loader-may25.yarDetection Rule License 1.1

rule SIGNATURE_BASE_MAL_NET_Katz_Stealer_Loader_May25
{
	meta:
		description = "Detects .NET based Katz stealer loader"
		author = "Jonathan Peters (cod3nym)"
		id = "c3d33818-66a1-51d9-9bcd-d8d255f96881"
		date = "2025-05-21"
		modified = "2026-05-15"
		reference = "Internal Research"
		source_url = "https://github.com/Neo23x0/signature-base/blob/94a1c48d7ab499879287ff611dfe7f9c56376030/yara/mal_katz_stealer.yar#L68-L88"
		license_url = "https://github.com/Neo23x0/signature-base/blob/94a1c48d7ab499879287ff611dfe7f9c56376030/LICENSE"
		hash = "0df13fd42fb4a4374981474ea87895a3830eddcc7f3bd494e76acd604c4004f7"
		logic_hash = "1922520d8c34660a0afff2f552ef0d1c6ec093fb10a00816e0216f574b686221"
		score = 80
		quality = 85
		tags = ""

	strings:
		$x = "ExecutarMetodoVAI" ascii
		$s1 = "VirtualMachineDetector" ascii
		$s2 = "Wow64SetThreadContext_API" ascii
		$s3 = "nomedoarquivo" ascii
		$s4 = { 65 78 74 65 6E C3 A7 61 6F 00 }
		$s5 = "payloadBuffer" ascii
		$s6 = "caminhovbs" ascii

	condition:
		3 of ( $s* ) or $x
}

Cadenas (7 patrones)

Identificador	Tipo	Valor	Modificadores
$x	texto	"ExecutarMetodoVAI"	ascii
$s1	texto	"VirtualMachineDetector"	ascii
$s2	texto	"Wow64SetThreadContext_API"	ascii
$s3	texto	"nomedoarquivo"	ascii
$s4	hex	{ 65 78 74 65 6E C3 A7 61 6F 00 }
$s5	texto	"payloadBuffer"	ascii
$s6	texto	"caminhovbs"	ascii

Condición

3 of ( $s* ) or $x

En palabras sencillas (Heurística)

Deben coincidir al menos 3 patrones de ( $s* ).
El patrón $x debe estar presente.

Prueba esta regla en tu navegador

Arrastra un archivo para escanearlo con esta regla usando YARA-X compilado a WebAssembly. No se sube nada.

Arrastra un archivo aquí o haz clic para elegirSe escanea en local con YARA-X. Archivos de hasta 200 MB.

Abrir en el editor

Hashes de muestras

Hashes de las muestras que el autor lista en los metadatos de la regla (búscalos en tu plataforma de threat intelligence).

0df13fd42fb4a4374981474ea87895a3830eddcc7f3bd494e76acd604c4004f7

Licencia y atribución

Autor: Jonathan Peters (cod3nym)

Repositorio de origen: Signature Base (Florian Roth / Nextron) @ 94a1c48d7a

Licencia: Detection Rule License 1.1 (licencia del repositorio)

Regla original

Obtenida a través de YARA Forge 20260927, que añade a los nombres el prefijo de la fuente y campos meta normalizados.

Id de la regla: c3d33818-66a1-51d9-9bcd-d8d255f96881

SIGNATURE_BASE_MAL_Katz_Stealer_May25
MalwareSignature Base (Florian Roth / Nextron)· MalGamy (Nextron Systems)· 2025-05-16
MALPEDIA_Win_Katz_Stealer_Auto
MalwareMalpedia signator rules· Felix Bilstein - yara-signator at cocacoding dot com· 2026-05-04
SIGNATURE_BASE_MAL_NET_UAC_Bypass_May25
MalwareSignature Base (Florian Roth / Nextron)· Jonathan Peters (cod3nym)· 2025-05-21
SIGNATURE_BASE_APT_Virtualizor_Compromise_Payload_Aug26
APT / actorSignature Base (Florian Roth / Nextron)· Jonathan Peters (cod3nym)· 2026-08-31
SIGNATURE_BASE_HKTL_Redsun_Privilege_Escalation_Apr26
Herramienta ofensivaSignature Base (Florian Roth / Nextron)· Jonathan Peters (cod3nym)· 2026-04-16
SIGNATURE_BASE_SUSP_Email_Redirection_Spoofing_Feb25
Sospechoso / huntingSignature Base (Florian Roth / Nextron)· Jonathan Peters (cod3nym)· 2025-02-20

Más reglas de Katz Stealer