Saltar al contenido
yararules.org
Menú

YARA · Signature Base (Florian Roth / Nextron)

SIGNATURE_BASE_SUSP_LNX_Base64_Download_Exec_Apr24

Detects suspicious base64 encoded shell commands used for downloading and executing further stages

Sospechoso / huntingSignature Base (Florian Roth / Nextron)Detection Rule License 1.1Compila con YARA-X
Autor
Paul Hager
Fecha
2024-04-18
Modificada
2025-03-21
Puntuación / Calidad
75 / 85

Qué detecta esta regla

Detects suspicious base64 encoded shell commands used for downloading and executing further stages

Define 4 patrones (4 de texto, 0 hex, 0 regex).

Resumen generado a partir de los metadatos y la condición de la regla.

Código de la regla

Descargar .yar
susp-lnx-base64-download-exec-apr24.yarDetection Rule License 1.1
rule SIGNATURE_BASE_SUSP_LNX_Base64_Download_Exec_Apr24 : SCRIPT
{
	meta:
		description = "Detects suspicious base64 encoded shell commands used for downloading and executing further stages"
		author = "Paul Hager"
		id = "df8dddef-3c49-500c-abc8-7f7de5aa69ae"
		date = "2024-04-18"
		modified = "2025-03-21"
		reference = "Internal Research"
		source_url = "https://github.com/Neo23x0/signature-base/blob/94a1c48d7ab499879287ff611dfe7f9c56376030/yara/vuln_paloalto_cve_2024_3400_apr24.yar#L48-L65"
		license_url = "https://github.com/Neo23x0/signature-base/blob/94a1c48d7ab499879287ff611dfe7f9c56376030/LICENSE"
		logic_hash = "90b7781812b4078550b0d66ba020b3bb0a8217f2de03492af98db6c619f31929"
		score = 75
		quality = 85
		tags = "SCRIPT"

	strings:
		$sa1 = "curl http" base64
		$sa2 = "wget http" base64
		$sb1 = "chmod 777 " base64
		$sb2 = "/tmp/" base64

	condition:
		1 of ( $sa* ) and all of ( $sb* )
}

Cadenas (4 patrones)

IdentificadorTipoValorModificadores
$sa1texto"curl http"base64
$sa2texto"wget http"base64
$sb1texto"chmod 777 "base64
$sb2texto"/tmp/"base64

Condición

1 of ( $sa* ) and all of ( $sb* )

En palabras sencillas (Heurística)

  • Deben coincidir todos los patrones de ( $sb* ).
  • Deben coincidir al menos 1 patrones de ( $sa* ).

Prueba esta regla en tu navegador

Arrastra un archivo para escanearlo con esta regla usando YARA-X compilado a WebAssembly. No se sube nada.

Arrastra un archivo aquí o haz clic para elegirSe escanea en local con YARA-X. Archivos de hasta 200 MB.

Abrir en el editor

Licencia y atribución

Autor: Paul Hager

Repositorio de origen: Signature Base (Florian Roth / Nextron) @ 94a1c48d7a

Licencia: Detection Rule License 1.1 (licencia del repositorio)

Regla original

Obtenida a través de YARA Forge 20260927, que añade a los nombres el prefijo de la fuente y campos meta normalizados.

Id de la regla: df8dddef-3c49-500c-abc8-7f7de5aa69ae

Etiquetas:SCRIPT

Reglas relacionadas