Saltar al contenido
yararules.org
Menú

YARA · Signature Base (Florian Roth / Nextron)

SIGNATURE_BASE_MAL_Wshrat_Dotnet_Packer_Feb21

Yara Rule for WSH rat .NET packer of February 2021

MalwareWSHRATSignature Base (Florian Roth / Nextron)Detection Rule License 1.1Compila con YARA-X
Autor
Yoroi Malware ZLab
Fecha
2021-03-09
Modificada
2023-12-05
Puntuación / Calidad
75 / 85

Qué detecta esta regla

Yara Rule for WSH rat .NET packer of February 2021

Familia de malware asociada: WSHRAT.

Objetivos: PE de Windows.

Define 6 patrones (0 de texto, 6 hex, 0 regex).

Resumen generado a partir de los metadatos y la condición de la regla.

Código de la regla

Descargar .yar
mal-wshrat-dotnet-packer-feb21.yarDetection Rule License 1.1
rule SIGNATURE_BASE_MAL_Wshrat_Dotnet_Packer_Feb21 : FILE
{
	meta:
		description = "Yara Rule for WSH rat .NET packer of February 2021 "
		author = "Yoroi Malware ZLab"
		id = "62e043fc-7d13-5b91-9fdd-e71d91194da2"
		date = "2021-03-09"
		modified = "2023-12-05"
		reference = "https://yoroi.company/research/threatening-within-budget-how-wsh-rat-is-abused-by-cyber-crooks/"
		source_url = "https://github.com/Neo23x0/signature-base/blob/94a1c48d7ab499879287ff611dfe7f9c56376030/yara/crime_wsh_rat.yar#L1-L17"
		license_url = "https://github.com/Neo23x0/signature-base/blob/94a1c48d7ab499879287ff611dfe7f9c56376030/LICENSE"
		logic_hash = "18159b140c314a00111fb9453e60d19c11633628a4fe2ad8299b839165b39424"
		score = 75
		quality = 85
		tags = "FILE"

	strings:
		$a1 = { BE DD 60 8C 34 49 9A 54 D2 40 }
		$a2 = { 1D D7 24 22 47 A6 B1 A5 }
		$a3 = { 13 30 03 00 07 00 00 00 01 }
		$a4 = { 11 02 03 7D 78 00 00 04 2A }
		$a5 = { A8 8A F4 C8 61 2B CA 07 }
		$a6 = { 15 AE 5E AB 5A 20 FE B5 56 B4 61 2B BB 06 2A}

	condition:
		uint16( 0 ) == 0x5A4D and 3 of them
}

Cadenas (6 patrones)

IdentificadorTipoValorModificadores
$a1hex{ BE DD 60 8C 34 49 9A 54 D2 40 }
$a2hex{ 1D D7 24 22 47 A6 B1 A5 }
$a3hex{ 13 30 03 00 07 00 00 00 01 }
$a4hex{ 11 02 03 7D 78 00 00 04 2A }
$a5hex{ A8 8A F4 C8 61 2B CA 07 }
$a6hex{ 15 AE 5E AB 5A 20 FE B5 56 B4 61 2B BB 06 2A}

Condición

uint16( 0 ) == 0x5A4D and 3 of them

En palabras sencillas (Heurística)

  • El archivo debe empezar por «MZ»: un ejecutable de Windows (PE).
  • Deben coincidir al menos 3 patrones de la regla.

Prueba esta regla en tu navegador

Arrastra un archivo para escanearlo con esta regla usando YARA-X compilado a WebAssembly. No se sube nada.

Arrastra un archivo aquí o haz clic para elegirSe escanea en local con YARA-X. Archivos de hasta 200 MB.

Abrir en el editor

Referencias

Licencia y atribución

Autor: Yoroi Malware ZLab

Repositorio de origen: Signature Base (Florian Roth / Nextron) @ 94a1c48d7a

Licencia: Detection Rule License 1.1 (licencia del repositorio)

Regla original

Obtenida a través de YARA Forge 20260927, que añade a los nombres el prefijo de la fuente y campos meta normalizados.

Id de la regla: 62e043fc-7d13-5b91-9fdd-e71d91194da2

Etiquetas:FILE

Reglas relacionadas

Más reglas de WSHRAT