Saltar al contenido
yararules.org
Menú

YARA · Signature Base (Florian Roth / Nextron)

SIGNATURE_BASE_SUSP_DOC_RTF_Externalresource_EMAIL_Jun22

Detects a suspicious pattern in RTF files which downloads external resources as seen in CVE-2022-30190 / Follina exploitation inside e-mail attachment

Sospechoso / huntingSignature Base (Florian Roth / Nextron)Detection Rule License 1.1Compila con YARA-X
Autor
Christian Burkard
Fecha
2022-06-01
Modificada
2026-05-15
Puntuación / Calidad
70 / 85

Qué detecta esta regla

Detects a suspicious pattern in RTF files which downloads external resources as seen in CVE-2022-30190 / Follina exploitation inside e-mail attachment

Define 9 patrones (9 de texto, 0 hex, 0 regex).

Resumen generado a partir de los metadatos y la condición de la regla.

Código de la regla

Descargar .yar
susp-doc-rtf-externalresource-email-jun22.yarDetection Rule License 1.1
rule SIGNATURE_BASE_SUSP_DOC_RTF_Externalresource_EMAIL_Jun22 : CVE_2022_30190 FILE
{
	meta:
		description = "Detects a suspicious pattern in RTF files which downloads external resources as seen in CVE-2022-30190 / Follina exploitation inside e-mail attachment"
		author = "Christian Burkard"
		id = "3ddc838c-8520-5572-9652-8cb823f83e27"
		date = "2022-06-01"
		modified = "2026-05-15"
		reference = "https://doublepulsar.com/follina-a-microsoft-office-code-execution-vulnerability-1a47fce5629e"
		source_url = "https://github.com/Neo23x0/signature-base/blob/94a1c48d7ab499879287ff611dfe7f9c56376030/yara/gen_doc_follina.yar#L195-L221"
		license_url = "https://github.com/Neo23x0/signature-base/blob/94a1c48d7ab499879287ff611dfe7f9c56376030/LICENSE"
		logic_hash = "73e76bd80f77640c0d8d47ebb7903eb9cc23336fbe653e7d008cae6a0de7c45b"
		score = 70
		quality = 85
		tags = "CVE-2022-30190, FILE"

	strings:
		$sa1 = "PFJlbGF0aW9uc2hpcH" ascii
		$sa2 = "xSZWxhdGlvbnNoaXBz" ascii
		$sa3 = "8UmVsYXRpb25zaGlwc" ascii
		$sb1 = "VGFyZ2V0TW9kZT0iRXh0ZXJuYWwi" ascii
		$sb2 = "RhcmdldE1vZGU9IkV4dGVybmFsI" ascii
		$sb3 = "UYXJnZXRNb2RlPSJFeHRlcm5hbC" ascii
		$sc1 = "Lmh0bWwhI" ascii
		$sc2 = "5odG1sIS" ascii
		$sc3 = "uaHRtbCEi" ascii

	condition:
		filesize < 400KB and 1 of ( $sa* ) and 1 of ( $sb* ) and 1 of ( $sc* )
}

Cadenas (9 patrones)

IdentificadorTipoValorModificadores
$sa1texto"PFJlbGF0aW9uc2hpcH"ascii
$sa2texto"xSZWxhdGlvbnNoaXBz"ascii
$sa3texto"8UmVsYXRpb25zaGlwc"ascii
$sb1texto"VGFyZ2V0TW9kZT0iRXh0ZXJuYWwi"ascii
$sb2texto"RhcmdldE1vZGU9IkV4dGVybmFsI"ascii
$sb3texto"UYXJnZXRNb2RlPSJFeHRlcm5hbC"ascii
$sc1texto"Lmh0bWwhI"ascii
$sc2texto"5odG1sIS"ascii
$sc3texto"uaHRtbCEi"ascii

Condición

filesize < 400KB and 1 of ( $sa* ) and 1 of ( $sb* ) and 1 of ( $sc* )

En palabras sencillas (Heurística)

  • El archivo debe ocupar menos de 400KB (un límite barato que descarta archivos grandes).
  • Deben coincidir al menos 1 patrones de ( $sa* ).
  • Deben coincidir al menos 1 patrones de ( $sb* ).
  • Deben coincidir al menos 1 patrones de ( $sc* ).

Prueba esta regla en tu navegador

Arrastra un archivo para escanearlo con esta regla usando YARA-X compilado a WebAssembly. No se sube nada.

Arrastra un archivo aquí o haz clic para elegirSe escanea en local con YARA-X. Archivos de hasta 200 MB.

Abrir en el editor

Referencias

Licencia y atribución

Autor: Christian Burkard

Repositorio de origen: Signature Base (Florian Roth / Nextron) @ 94a1c48d7a

Licencia: Detection Rule License 1.1 (licencia del repositorio)

Regla original

Obtenida a través de YARA Forge 20260927, que añade a los nombres el prefijo de la fuente y campos meta normalizados.

Id de la regla: 3ddc838c-8520-5572-9652-8cb823f83e27

Etiquetas:CVE_2022_30190FILE

Reglas relacionadas