Saltar al contenido
yararules.org
Menú

YARA · WithSecure Labs IOCs

WITHSECURELABS_Ducktail_Nativeaot

Detects NativeAOT variants of DUCKTAIL malware

MalwareDucktailWithSecure Labs IOCsBSD 2-Clause LicenseCompila con YARA-X
Autor
WithSecure
Fecha
2022-11-17
Modificada
2022-11-22
Puntuación / Calidad
75 / 75

Qué detecta esta regla

Detects NativeAOT variants of DUCKTAIL malware

Familia de malware asociada: Ducktail.

Objetivos: PE de Windows.

No tiene patrones: decide solo la condición (módulos, propiedades del archivo u otras reglas). Módulos YARA usados: pe.

Resumen generado a partir de los metadatos y la condición de la regla.

Código de la regla

Descargar .yar

Incluye los imports necesarios para compilarla por sí sola.

ducktail-nativeaot.yarBSD 2-Clause License
import "pe"

rule WITHSECURELABS_Ducktail_Nativeaot : FILE
{
	meta:
		description = "Detects NativeAOT variants of DUCKTAIL malware"
		author = "WithSecure"
		id = "1961d3e1-987b-588b-bfc2-8239797cd049"
		date = "2022-11-17"
		modified = "2022-11-22"
		reference = "https://labs.withsecure.com/publications/ducktail_returns"
		source_url = "https://github.com/WithSecureLabs/iocs/blob/1a8384468dd292c6d2c5114c32e42dc0da1f5ae1/DUCKTAIL/ducktail_nativeaot.yara#L2-L22"
		license_url = "https://github.com/WithSecureLabs/iocs/blob/1a8384468dd292c6d2c5114c32e42dc0da1f5ae1/LICENSE"
		hash = "b043e4639f89459cae85161e6fbf73b22470979e"
		hash = "073b092bf949c31628ee20f7458067bbb05fda3a"
		hash = "d1f6b5f9718a2fe9eaac0c1a627228d3f3b86f87"
		logic_hash = "976b28ac45e5a13d4ce900b857e6bd3afc82b65b0235791fd698b762287cd60e"
		score = 75
		quality = 75
		tags = "FILE"
		version = "1.0"

	condition:
		uint16( 0 ) == 0x5A4D and filesize > 15MB and ( pe.section_index ( ".managed" ) >= 0 or pe.exports ( "DotNetRuntimeDebugHeader" ) ) and pe.exports ( "SendFile" ) and pe.exports ( "Start" ) and pe.exports ( "Open" )
}

Condición

uint16( 0 ) == 0x5A4D and filesize > 15MB and ( pe.section_index ( ".managed" ) >= 0 or pe.exports ( "DotNetRuntimeDebugHeader" ) ) and pe.exports ( "SendFile" ) and pe.exports ( "Start" ) and pe.exports ( "Open" )

En palabras sencillas (Heurística)

  • El archivo debe empezar por «MZ»: un ejecutable de Windows (PE).
  • El archivo debe ocupar más de 15MB.
  • Usa el módulo pe.
  • Comprueba funciones exportadas o el nombre de la DLL.
  • Comprueba secciones PE (nombres, número o propiedades).

Prueba esta regla en tu navegador

Arrastra un archivo para escanearlo con esta regla usando YARA-X compilado a WebAssembly. No se sube nada.

Arrastra un archivo aquí o haz clic para elegirSe escanea en local con YARA-X. Archivos de hasta 200 MB.

Abrir en el editor

Referencias

Hashes de muestras

Hashes de las muestras que el autor lista en los metadatos de la regla (búscalos en tu plataforma de threat intelligence).

  • b043e4639f89459cae85161e6fbf73b22470979e
  • 073b092bf949c31628ee20f7458067bbb05fda3a
  • d1f6b5f9718a2fe9eaac0c1a627228d3f3b86f87

Licencia y atribución

Autor: WithSecure

Repositorio de origen: WithSecure Labs IOCs @ 1a8384468d

Licencia: BSD 2-Clause License (licencia del repositorio)

Aviso de copyright: Copyright (c) 2022, WithSecure Oyj

Regla original

Obtenida a través de YARA Forge 20260927, que añade a los nombres el prefijo de la fuente y campos meta normalizados.

Id de la regla: 1961d3e1-987b-588b-bfc2-8239797cd049

Metadatos

version1.0

Etiquetas:FILE

Reglas relacionadas

Más reglas de Ducktail