Saltar al contenido
yararules.org
Menú

YARA · Signature Base (Florian Roth / Nextron)

SIGNATURE_BASE_WEBSHELL_ASPX_Proxyshell_Aug15

Webshells iisstart.aspx and Logout.aspx

WebshellSignature Base (Florian Roth / Nextron)Detection Rule License 1.1Compila con YARA-X
Autor
Moritz Oettle
Fecha
2021-09-04
Modificada
2025-11-03
Puntuación / Calidad
75 / 85

Qué detecta esta regla

Webshells iisstart.aspx and Logout.aspx

Define 11 patrones (11 de texto, 0 hex, 0 regex).

Resumen generado a partir de los metadatos y la condición de la regla.

Código de la regla

Descargar .yar
webshell-aspx-proxyshell-aug15.yarDetection Rule License 1.1
rule SIGNATURE_BASE_WEBSHELL_ASPX_Proxyshell_Aug15 : FILE
{
	meta:
		description = "Webshells iisstart.aspx and Logout.aspx"
		author = "Moritz Oettle"
		id = "b1e6c0f3-787f-59b8-8123-4045522047ca"
		date = "2021-09-04"
		modified = "2025-11-03"
		reference = "https://github.com/hvs-consulting/ioc_signatures/tree/main/Proxyshell"
		source_url = "https://github.com/Neo23x0/signature-base/blob/94a1c48d7ab499879287ff611dfe7f9c56376030/yara/expl_proxyshell.yar#L121-L152"
		license_url = "https://github.com/Neo23x0/signature-base/blob/94a1c48d7ab499879287ff611dfe7f9c56376030/LICENSE"
		logic_hash = "46c37f1d80c777acafa6ee64d7df18a6b94768f4463d9196027111a84a63a24f"
		score = 75
		quality = 85
		tags = "FILE"

	strings:
		$g1 = "language=\"JScript\"" ascii
		$g2 = "function getErrorWord" ascii
		$g3 = "errorWord" ascii
		$g4 = "Response.Redirect" ascii
		$g5 = "function Page_Load" ascii
		$g6 = "runat=\"server\"" ascii
		$g7 = "Request[" ascii
		$g8 = "eval/*" ascii
		$s1 = "AppcacheVer" ascii
		$s3 = "LaTkWfI64XeDAXZS6pU1KrsvLAcGH7AZOQXjrFkT816RnFYJQR" ascii
		$fp1 = "<input type=\"submit\" Value=\"Refresh This Page\""

	condition:
		filesize < 1KB and ( 1 of ( $s* ) or 4 of ( $g* ) ) and not 1 of ( $fp* )
}

Cadenas (11 patrones)

IdentificadorTipoValorModificadores
$g1texto"language=\"JScript\""ascii
$g2texto"function getErrorWord"ascii
$g3texto"errorWord"ascii
$g4texto"Response.Redirect"ascii
$g5texto"function Page_Load"ascii
$g6texto"runat=\"server\""ascii
$g7texto"Request["ascii
$g8texto"eval/*"ascii
$s1texto"AppcacheVer"ascii
$s3texto"LaTkWfI64XeDAXZS6pU1KrsvLAcGH7AZOQXjrFkT816RnFYJQR"ascii
$fp1texto"<input type=\"submit\" Value=\"Refresh This Page\""

Condición

filesize < 1KB and ( 1 of ( $s* ) or 4 of ( $g* ) ) and not 1 of ( $fp* )

En palabras sencillas (Heurística)

  • El archivo debe ocupar menos de 1KB (un límite barato que descarta archivos grandes).
  • Deben coincidir al menos 1 patrones de ( $s* ).
  • Deben coincidir al menos 4 patrones de ( $g* ).
  • Deben coincidir al menos 1 patrones de ( $fp* ).

Prueba esta regla en tu navegador

Arrastra un archivo para escanearlo con esta regla usando YARA-X compilado a WebAssembly. No se sube nada.

Arrastra un archivo aquí o haz clic para elegirSe escanea en local con YARA-X. Archivos de hasta 200 MB.

Abrir en el editor

Referencias

Licencia y atribución

Autor: Moritz Oettle

Repositorio de origen: Signature Base (Florian Roth / Nextron) @ 94a1c48d7a

Licencia: Detection Rule License 1.1 (licencia del repositorio)

Regla original

Obtenida a través de YARA Forge 20260927, que añade a los nombres el prefijo de la fuente y campos meta normalizados.

Id de la regla: b1e6c0f3-787f-59b8-8123-4045522047ca

Etiquetas:FILE

Reglas relacionadas