Saltar al contenido
yararules.org
Menú

YARA · Signature Base (Florian Roth / Nextron)

SIGNATURE_BASE_Mimikatz

mimikatz

Herramienta ofensivaMimikatzSignature Base (Florian Roth / Nextron)Detection Rule License 1.1Compila con YARA-X
Autor
Benjamin DELPY (gentilkiwi)
Fecha
2022-11-16
Modificada
2023-12-05
Puntuación / Calidad
75 / 85

Qué detecta esta regla

mimikatz

Familia de malware asociada: Mimikatz.

Define 6 patrones (0 de texto, 6 hex, 0 regex).

Resumen generado a partir de los metadatos y la condición de la regla.

Código de la regla

Descargar .yar
mimikatz.yarDetection Rule License 1.1
rule SIGNATURE_BASE_Mimikatz : FILE
{
	meta:
		description = "mimikatz"
		author = "Benjamin DELPY (gentilkiwi)"
		id = "840a5b8c-a311-50bc-a099-6b8ab1492e12"
		date = "2022-11-16"
		modified = "2023-12-05"
		reference = "https://github.com/Neo23x0/signature-base"
		source_url = "https://github.com/Neo23x0/signature-base/blob/94a1c48d7ab499879287ff611dfe7f9c56376030/yara/gen_mimikatz.yar#L48-L74"
		license_url = "https://github.com/Neo23x0/signature-base/blob/94a1c48d7ab499879287ff611dfe7f9c56376030/LICENSE"
		logic_hash = "bf972a2c0465c3bbdde6f03d91c6f479d0f66c6d3e9512355de5a973164b56a5"
		score = 75
		quality = 85
		tags = "FILE"
		tool_author = "Benjamin DELPY (gentilkiwi)"

	strings:
		$exe_x86_1 = { 89 71 04 89 [0-3] 30 8d 04 bd }
		$exe_x86_2 = { 8b 4d e? 8b 45 f4 89 75 e? 89 01 85 ff 74 }
		$exe_x64_1 = { 33 ff 4? 89 37 4? 8b f3 45 85 c? 74}
		$exe_x64_2 = { 4c 8b df 49 [0-3] c1 e3 04 48 [0-3] 8b cb 4c 03 [0-3] d8 }
		$sys_x86 = { a0 00 00 00 24 02 00 00 40 00 00 00 [0-4] b8 00 00 00 6c 02 00 00 40 00 00 00 }
		$sys_x64 = { 88 01 00 00 3c 04 00 00 40 00 00 00 [0-4] e8 02 00 00 f8 02 00 00 40 00 00 00 }

	condition:
		( all of ( $exe_x86_* ) ) or ( all of ( $exe_x64_* ) ) or ( any of ( $sys_* ) )
}

Cadenas (6 patrones)

IdentificadorTipoValorModificadores
$exe_x86_1hex{ 89 71 04 89 [0-3] 30 8d 04 bd }
$exe_x86_2hex{ 8b 4d e? 8b 45 f4 89 75 e? 89 01 85 ff 74 }
$exe_x64_1hex{ 33 ff 4? 89 37 4? 8b f3 45 85 c? 74}
$exe_x64_2hex{ 4c 8b df 49 [0-3] c1 e3 04 48 [0-3] 8b cb 4c 03 [0-3] d8 }
$sys_x86hex{ a0 00 00 00 24 02 00 00 40 00 00 00 [0-4] b8 00 00 00 6c 02 00 00 40 00 00 00 }
$sys_x64hex{ 88 01 00 00 3c 04 00 00 40 00 00 00 [0-4] e8 02 00 00 f8 02 00 00 40 00 00 00 }

Condición

( all of ( $exe_x86_* ) ) or ( all of ( $exe_x64_* ) ) or ( any of ( $sys_* ) )

En palabras sencillas (Heurística)

  • Deben coincidir todos los patrones de ( $exe_x86_* ).
  • Deben coincidir todos los patrones de ( $exe_x64_* ).
  • Debe coincidir al menos un patrón de ( $sys_* ).

Prueba esta regla en tu navegador

Arrastra un archivo para escanearlo con esta regla usando YARA-X compilado a WebAssembly. No se sube nada.

Arrastra un archivo aquí o haz clic para elegirSe escanea en local con YARA-X. Archivos de hasta 200 MB.

Abrir en el editor

Referencias

Licencia y atribución

Autor: Benjamin DELPY (gentilkiwi)

Repositorio de origen: Signature Base (Florian Roth / Nextron) @ 94a1c48d7a

Licencia: Detection Rule License 1.1 (licencia del repositorio)

Regla original

Obtenida a través de YARA Forge 20260927, que añade a los nombres el prefijo de la fuente y campos meta normalizados.

Id de la regla: 840a5b8c-a311-50bc-a099-6b8ab1492e12

Metadatos

tool_authorBenjamin DELPY (gentilkiwi)

Etiquetas:FILE

Reglas relacionadas

Más reglas de Mimikatz