YARA · CAPE Sandbox (CAPEv2)
CAPE_Icedidpackera
IcedID export selection
- Auteur
- kevoreilly
- Date
- 2021-03-30
- Modifiée
- 2023-11-28
- Score / Qualité
- 75 / 70
Ce que détecte cette règle
IcedID export selection
Famille de malware associée : Icedid.
Cibles : PE Windows.
Elle définit 3 motifs (1 texte, 2 hex, 0 regex).
Résumé généré à partir des métadonnées et de la condition de la règle.
Source de la règle
rule CAPE_Icedidpackera : FILE
{
meta:
= "IcedID export selection"
= "kevoreilly"
= "d793d8a1-0e17-56ad-933c-470e2290867b"
= "2021-03-30"
= "2023-11-28"
= "https://github.com/kevoreilly/CAPEv2"
= "https://github.com/kevoreilly/CAPEv2/blob/6b15e76f28cd83fd1187da6c9aaaad2174255356/analyzer/windows/data/yara/IcedID.yar#L27-L40"
= "https://github.com/kevoreilly/CAPEv2/blob/6b15e76f28cd83fd1187da6c9aaaad2174255356/LICENSE"
= "fbad60002286599ca06d0ecb3624740efbf13ee5fda545341b3e0bf4d5348cfe"
= "aa0681e7794546355e6d61f739c49035a493cdfca7e666531d74e3835ec44408"
= 75
= 70
= "FILE"
= "export=$export"
strings:
$init = "init"
$export = {48 89 5C 24 08 48 89 6C 24 10 48 89 74 24 18 57 48 81 EC [2] 00 00 41 8B E9 49 8B F0 48 8B FA 48 8B D9}
$alloc = {8B 50 50 33 C9 44 8D 49 40 41 B8 00 30 00 00 FF 15 [4] 48 89 44 24 28 [0-3] 48 89 84 24 ?? 00 00 00 E9}
condition:
uint16( 0 ) == 0x5A4D and all of them
}
Chaînes (3 motifs)
| Identifiant | Type | Valeur | Modificateurs |
|---|---|---|---|
| $init | texte | "init" | |
| $export | hex | {48 89 5C 24 08 48 89 6C 24 10 48 89 74 24 18 57 48 81 EC [2] 00 00 41 8B E9 49 8B F0 48 8B FA 48 8B D9} | |
| $alloc | hex | {8B 50 50 33 C9 44 8D 49 40 41 B8 00 30 00 00 FF 15 [4] 48 89 44 24 28 [0-3] 48 89 84 24 ?? 00 00 00 E9} |
Condition
uint16( 0 ) == 0x5A4D and all of themEn clair (Heuristique)
- Le fichier doit commencer par « MZ » — un exécutable Windows (PE).
- Tous les motifs de la règle doivent être trouvés.
Tester cette règle dans votre navigateur
Déposez un fichier pour le scanner avec cette règle grâce à YARA-X compilé en WebAssembly. Rien n’est envoyé.
Références
Hashes d’échantillons
Hashes des échantillons listés par l’auteur dans les métadonnées de la règle (à rechercher dans votre plateforme de threat intelligence).
- fbad60002286599ca06d0ecb3624740efbf13ee5fda545341b3e0bf4d5348cfe
Licence et attribution
Auteur : kevoreilly
Dépôt source : CAPE Sandbox (CAPEv2) @ 6b15e76f28
Licence : GNU General Public License v3.0 (licence du dépôt)
Mention de copyright : Cuckoo Sandbox is copyrighted by the Cuckoo Foundation.
Reprise via YARA Forge 20260927, qui préfixe les noms de règles par la source et ajoute des champs meta normalisés.
Identifiant de règle: d793d8a1-0e17-56ad-933c-470e2290867b
Métadonnées
| cape_options | export=$export |
|---|
Tags:FILE
Règles liées
- MalwareCAPE Sandbox (CAPEv2)· kevoreilly· 2021-03-30
- MalwareCAPE Sandbox (CAPEv2)· kevoreilly· 2021-03-30
- MalwareCAPE Sandbox (CAPEv2)· kevoreilly· 2021-03-30
- MalwareCAPE Sandbox (CAPEv2)· kevoreilly· 2021-03-30
- MalwareCAPE Sandbox (CAPEv2)· kevoreilly· 2021-03-30
- Suspect / chasseCAPE Sandbox (CAPEv2)· kevoreilly· 2021-03-30
- MalwareSignature Base (Florian Roth / Nextron)· Thomas Barabosch, Telekom Security· 2021-04-12
- MalwareMalpedia signator rules· Felix Bilstein - yara-signator at cocacoding dot com· 2026-05-04