Saltar al contenido
yararules.org
Menú

YARA · Trellix Advanced Research Center

TRELLIX_ARC_Netwalker_Signed

Rule to detect Netwalker ransomware digitally signed.

MalwareTrellix Advanced Research CenterApache License 2.0Compila con YARA-X (con avisos)
Autor
Marc Rivero | McAfee ATR Team
Fecha
2020-03-30
Modificada
2020-11-20
Puntuación / Calidad
75 / 70

Qué detecta esta regla

Rule to detect Netwalker ransomware digitally signed.

Objetivos: PE de Windows.

No tiene patrones: decide solo la condición (módulos, propiedades del archivo u otras reglas). Módulos YARA usados: pe.

YARA-X dice: warning[deprecated_field]: field `number_of_signatures` is deprecated

Resumen generado a partir de los metadatos y la condición de la regla.

Código de la regla

Descargar .yar

Incluye los imports necesarios para compilarla por sí sola.

netwalker-signed.yarApache License 2.0
import "pe"

rule TRELLIX_ARC_Netwalker_Signed : FILE
{
	meta:
		description = "Rule to detect Netwalker ransomware digitally signed."
		author = "Marc Rivero | McAfee ATR Team"
		id = "6806b917-2e02-57e3-887a-b4c12db83653"
		date = "2020-03-30"
		modified = "2020-11-20"
		reference = "https://www.ccn-cert.cni.es/comunicacion-eventos/comunicados-ccn-cert/9802-publicado-un-informe-de-codigo-danino-sobre-netwalker.html"
		source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/ransomware/RANSOM_netwalker.yar#L30-L47"
		license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE"
		logic_hash = "d78ed22771d7c93516375afb8fd2fd7baa40a357ec3c247939a10d11f80ae226"
		score = 75
		quality = 70
		tags = "FILE"
		note = "The rule will hit also some Dridex samples digitally signed"

	condition:
		uint16( 0 ) == 0x5a4d and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "/CN=EWBTCAXQKUMDTHCXCZ" and pe.signatures [ i ] . serial == "17:16:bb:93:fb:a9:a2:41:ba:a8:2e:c7:5e:ff:0c" or pe.signatures [ i ] . thumbprint == "a4:28:e9:4a:61:3a:1f:cf:ff:08:bf:e7:61:51:64:31:1a:6f:87:bc" )
}

Condición

uint16( 0 ) == 0x5a4d and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "/CN=EWBTCAXQKUMDTHCXCZ" and pe.signatures [ i ] . serial == "17:16:bb:93:fb:a9:a2:41:ba:a8:2e:c7:5e:ff:0c" or pe.signatures [ i ] . thumbprint == "a4:28:e9:4a:61:3a:1f:cf:ff:08:bf:e7:61:51:64:31:1a:6f:87:bc" )

En palabras sencillas (Heurística)

  • El archivo debe empezar por «MZ»: un ejecutable de Windows (PE).
  • Un bucle for comprueba una propiedad sobre varias coincidencias o elementos.
  • Usa el módulo pe.
  • Comprueba la firma Authenticode.

Prueba esta regla en tu navegador

Arrastra un archivo para escanearlo con esta regla usando YARA-X compilado a WebAssembly. No se sube nada.

Arrastra un archivo aquí o haz clic para elegirSe escanea en local con YARA-X. Archivos de hasta 200 MB.

Abrir en el editor

Referencias

Licencia y atribución

Autor: Marc Rivero | McAfee ATR Team

Repositorio de origen: Trellix Advanced Research Center @ 1919562a59

Licencia: Apache License 2.0 (licencia del repositorio)

Regla original

Obtenida a través de YARA Forge 20260927, que añade a los nombres el prefijo de la fuente y campos meta normalizados.

Id de la regla: 6806b917-2e02-57e3-887a-b4c12db83653

Metadatos

noteThe rule will hit also some Dridex samples digitally signed

Etiquetas:FILE

Reglas relacionadas