YARA · Costin Raiu yararules

CRAIU_Unk_Liblzma_Backdoor

liblzma backdoored

MalwareCostin Raiu yararulesGNU General Public License v3.0Compile avec YARA-X

Auteur: Costin G. Raiu, Art of Noh, craiu@noh.ro
Date: 2024-03-30
Score / Qualité: 75 / 85

Ce que détecte cette règle

liblzma backdoored

Cibles : ELF Linux.

Elle définit 2 motifs (0 texte, 2 hex, 0 regex).

Résumé généré à partir des métadonnées et de la condition de la règle.

Source de la règle

Télécharger .yar

unk-liblzma-backdoor.yarGNU General Public License v3.0

rule CRAIU_Unk_Liblzma_Backdoor : FILE
{
	meta:
		description = "liblzma backdoored"
		author = "Costin G. Raiu, Art of Noh, craiu@noh.ro"
		id = "3527227b-e19f-5704-8a56-f7d318890658"
		date = "2024-03-30"
		modified = "2024-03-30"
		reference = "https://seclists.org/oss-sec/2024/q1/268"
		source_url = "https://github.com/craiu/yararules/blob/23cf0ca22021fa3684e180a18416b9ae1b695243/files/unk_liblzma_backdoor.yara#L1-L30"
		license_url = "https://github.com/craiu/yararules/blob/23cf0ca22021fa3684e180a18416b9ae1b695243/LICENSE"
		hash = "8fa641c454c3e0f76de73b7cc3446096b9c8b9d33d406d38b8ac76090b0344fd"
		hash = "319feb5a9cddd81955d915b5632b4a5f8f9080281fb46e2f6d69d53f693c23ae"
		hash = "b418bfd34aa246b2e7b5cb5d263a640e5d080810f767370c4d2c24662a274963"
		hash = "cbeef92e67bf41ca9c015557d81f39adaba67ca9fb3574139754999030b83537"
		logic_hash = "ac58a38bff3020dbc881a78b70cf18279644cf6f3ede8d652be3f345ba00974f"
		score = 75
		quality = 85
		tags = "FILE"
		version = "1.1"

	strings:
		$a1 = {f3 0f 1e fa 55 48 89 f5 4c 89 ce 53 89 fb 81 e7 00 00 00 80 48 83 ec 28 48 89 54 24 18 48 89 4c 24 10}
		$a2 = {48 BF 30 30 30 30 30 30 30 30 8B F1 49 89 D1 89 43 28 48 89 3C 24 BF 3F FC FF 03}

	condition:
		( uint32be( 0 ) == 0x7F454C46 ) and ( filesize < 10MB ) and ( any of them )
}

Chaînes (2 motifs)

Identifiant	Type	Valeur	Modificateurs
$a1	hex	{f3 0f 1e fa 55 48 89 f5 4c 89 ce 53 89 fb 81 e7 00 00 00 80 48 83 ec 28 48 89 54 24 18 48 89 4c 24 10}
$a2	hex	{48 BF 30 30 30 30 30 30 30 30 8B F1 49 89 D1 89 43 28 48 89 3C 24 BF 3F FC FF 03}

Condition

( uint32be( 0 ) == 0x7F454C46 ) and ( filesize < 10MB ) and ( any of them )

En clair (Heuristique)

Le fichier doit commencer par l’en-tête ELF — un exécutable Linux/Unix.
Le fichier doit faire moins de 10MB (garde-fou peu coûteux qui écarte les gros fichiers).
Au moins un motif de la règle doit être trouvé.

Tester cette règle dans votre navigateur

Déposez un fichier pour le scanner avec cette règle grâce à YARA-X compilé en WebAssembly. Rien n’est envoyé.

Déposez un fichier ici ou cliquez pour choisirScanné localement avec YARA-X. Fichiers jusqu’à 200 Mo.

Ouvrir dans l’éditeur

Références

https://seclists.org/oss-sec/2024/q1/268

Hashes d’échantillons

Hashes des échantillons listés par l’auteur dans les métadonnées de la règle (à rechercher dans votre plateforme de threat intelligence).

8fa641c454c3e0f76de73b7cc3446096b9c8b9d33d406d38b8ac76090b0344fd
319feb5a9cddd81955d915b5632b4a5f8f9080281fb46e2f6d69d53f693c23ae
b418bfd34aa246b2e7b5cb5d263a640e5d080810f767370c4d2c24662a274963
cbeef92e67bf41ca9c015557d81f39adaba67ca9fb3574139754999030b83537

Licence et attribution

Auteur : Costin G. Raiu, Art of Noh, craiu@noh.ro

Dépôt source : Costin Raiu yararules @ 23cf0ca220

Licence : GNU General Public License v3.0 (licence du dépôt)

Règle d’origine

Reprise via YARA Forge 20260927, qui préfixe les noms de règles par la source et ajoute des champs meta normalisés.

Identifiant de règle: 3527227b-e19f-5704-8a56-f7d318890658

Métadonnées

version	1.1

Tags:FILE

CRAIU_Crime_Noabot
MalwareCostin Raiu yararules· Costin G. Raiu, Art of Noh, craiu@noh.ro· 2024-01-11
CRAIU_Unk_Liblzma_Encstrings
MalwareCostin Raiu yararules· Costin G. Raiu, Art of Noh, craiu@noh.ro· 2024-03-30
CRAIU_Crashstrike
GénériqueCostin Raiu yararules· Costin G. Raiu, Art of Noh, craiu@noh.ro· 2024-07-19
CRAIU_Susp_Ios_Shutdown
Suspect / chasseCostin Raiu yararules· Costin G. Raiu, Art of Noh, craiu@noh.ro· 2023-12-28