YARA · Cado Security (via Open-Source-YARA-rules)

CADOSECURITY_Lambda_Malware

Detects AWS Lambda Malware

MalwareCado Security (via Open-Source-YARA-rules)Apache License 2.0Compile avec YARA-X

Auteur: cdoman@cadosecurity.com
Date: 2022-04-03
Modifiée: 2022-07-06
Score / Qualité: 75 / 80

Ce que détecte cette règle

Detects AWS Lambda Malware

Elle définit 3 motifs (3 texte, 0 hex, 0 regex).

Résumé généré à partir des métadonnées et de la condition de la règle.

Source de la règle

Télécharger .yar

lambda-malware.yarApache License 2.0

rule CADOSECURITY_Lambda_Malware : FILE
{
	meta:
		description = "Detects AWS Lambda Malware"
		author = "cdoman@cadosecurity.com"
		id = "cd867d39-7ff8-599a-bd65-e0f5581ac3f6"
		date = "2022-04-03"
		modified = "2022-07-06"
		reference = "https://www.cadosecurity.com/cado-discovers-denonia-the-first-malware-specifically-targeting-lambda/"
		source_url = "https://github.com/mikesxrs/Open-Source-YARA-rules/blob/ec0056f767db98bf6d5fd63877ad51fb54d350e9/Cado Security/Lambda_Malware.yar#L1-L17"
		license_url = "N/A"
		hash = "739fe13697bc55870ceb35003c4ee01a335f9c1f6549acb6472c5c3078417eed"
		hash = "a31ae5b7968056d8d99b1b720a66a9a1aeee3637b97050d95d96ef3a265cbbca"
		logic_hash = "46567ceeb39a3b3379fc5ee876e1539b24e8192af8fe31b5df16fb2b3105f176"
		score = 75
		quality = 80
		tags = "FILE"
		license = "Apache License 2.0"

	strings:
		$a = "github.com/likexian/doh-go/provider/"
		$b = "Mozilla/5.0 (compatible; Ezooms/1.0; help@moz.com)"
		$c = "username:password pair for mining server"

	condition:
		filesize < 30000KB and all of them
}

Chaînes (3 motifs)

Identifiant	Type	Valeur
$a	texte	"github.com/likexian/doh-go/provider/"
$b	texte	"Mozilla/5.0 (compatible; Ezooms/1.0; help@moz.com)"
$c	texte	"username:password pair for mining server"

Condition

filesize < 30000KB and all of them

En clair (Heuristique)

Le fichier doit faire moins de 30000KB (garde-fou peu coûteux qui écarte les gros fichiers).
Tous les motifs de la règle doivent être trouvés.

Tester cette règle dans votre navigateur

Déposez un fichier pour le scanner avec cette règle grâce à YARA-X compilé en WebAssembly. Rien n’est envoyé.

Déposez un fichier ici ou cliquez pour choisirScanné localement avec YARA-X. Fichiers jusqu’à 200 Mo.

Ouvrir dans l’éditeur

Références

https://www.cadosecurity.com/cado-discovers-denonia-the-first-malware-specifically-targeting-lambda/

Hashes d’échantillons

Hashes des échantillons listés par l’auteur dans les métadonnées de la règle (à rechercher dans votre plateforme de threat intelligence).

739fe13697bc55870ceb35003c4ee01a335f9c1f6549acb6472c5c3078417eed
a31ae5b7968056d8d99b1b720a66a9a1aeee3637b97050d95d96ef3a265cbbca

Licence et attribution

Auteur : cdoman@cadosecurity.com

Dépôt source : Cado Security (via Open-Source-YARA-rules) @ ec0056f767

Licence : Apache License 2.0 (indiquée dans les métadonnées de la règle)

“Apache License 2.0”

Règle d’origine

Reprise via YARA Forge 20260927, qui préfixe les noms de règles par la source et ajoute des champs meta normalisés.

Identifiant de règle: cd867d39-7ff8-599a-bd65-e0f5581ac3f6

Tags:FILE