Aller au contenu
yararules.org
Menu

YARA · Costin Raiu yararules

CRAIU_Susp_Ios_Shutdown

Detect shutdown.log files from sysdiags with suspicious entries

Suspect / chasseCostin Raiu yararulesGNU General Public License v3.0Compile avec YARA-X
Auteur
Costin G. Raiu, Art of Noh, craiu@noh.ro
Date
2023-12-28
Modifiée
2024-03-05
Score / Qualité
65 / 85

Ce que détecte cette règle

Detect shutdown.log files from sysdiags with suspicious entries

Elle définit 4 motifs (4 texte, 0 hex, 0 regex).

Résumé généré à partir des métadonnées et de la condition de la règle.

Source de la règle

Télécharger .yar
susp-ios-shutdown.yarGNU General Public License v3.0
rule CRAIU_Susp_Ios_Shutdown
{
	meta:
		description = "Detect shutdown.log files from sysdiags with suspicious entries"
		author = "Costin G. Raiu, Art of Noh, craiu@noh.ro"
		id = "08aa1fb9-7af0-515a-91a8-09ed35e48155"
		date = "2023-12-28"
		modified = "2024-03-05"
		reference = "https://securelist.com/shutdown-log-lightweight-ios-malware-detection-method/111734/"
		source_url = "https://github.com/craiu/yararules/blob/23cf0ca22021fa3684e180a18416b9ae1b695243/files/susp_ios_shutdown.yara#L2-L25"
		license_url = "https://github.com/craiu/yararules/blob/23cf0ca22021fa3684e180a18416b9ae1b695243/LICENSE"
		logic_hash = "936101f2dddb73f6dda41be47d775199c458aa4fecdcf348ed479da620343ea1"
		score = 65
		quality = 85
		tags = ""
		version = "1.0"
		tlp = "TLP:CLEAR"

	strings:
		$a1 = "these clients are still here:"
		$b1 = "/private/var/db/"
		$b2 = "/private/var/tmp/"
		$c1 = "After "

	condition:
		($c1 at 0 ) and $a1 and ( any of ( $b* ) )
}

Chaînes (4 motifs)

IdentifiantTypeValeurModificateurs
$a1texte"these clients are still here:"
$b1texte"/private/var/db/"
$b2texte"/private/var/tmp/"
$c1texte"After "

Condition

($c1 at 0 ) and $a1 and ( any of ( $b* ) )

En clair (Heuristique)

  • Au moins un motif de ( $b* ) doit être trouvé.
  • Le motif $c1 doit se trouver à l’offset 0.
  • Le motif $a1 doit être présent.

Tester cette règle dans votre navigateur

Déposez un fichier pour le scanner avec cette règle grâce à YARA-X compilé en WebAssembly. Rien n’est envoyé.

Déposez un fichier ici ou cliquez pour choisirScanné localement avec YARA-X. Fichiers jusqu’à 200 Mo.

Ouvrir dans l’éditeur

Références

Licence et attribution

Auteur : Costin G. Raiu, Art of Noh, craiu@noh.ro

Dépôt source : Costin Raiu yararules @ 23cf0ca220

Licence : GNU General Public License v3.0 (licence du dépôt)

Règle d’origine

Reprise via YARA Forge 20260927, qui préfixe les noms de règles par la source et ajoute des champs meta normalisés.

Identifiant de règle: 08aa1fb9-7af0-515a-91a8-09ed35e48155

Métadonnées

version1.0
tlpTLP:CLEAR

Règles liées