Aller au contenu
yararules.org
Menu

YARA · dr4k0nia yara-rules

DR4K0NIA_Msil_Susp_Obf_Antidump

No description has been set in the source file - Dr4k0nia

Suspect / chassedr4k0nia yara-rulesDetection Rule License 1.1Compile avec YARA-X
Auteur
dr4k0nia
Date
2023-12-03
Modifiée
2023-03-13
Score / Qualité
65 / 85

Ce que détecte cette règle

No description has been set in the source file - Dr4k0nia

Cibles : PE Windows, Assembly .NET.

Elle définit 6 motifs (3 texte, 3 hex, 0 regex). Modules YARA utilisés : dotnet.

Résumé généré à partir des métadonnées et de la condition de la règle.

Source de la règle

Télécharger .yar

Inclut les imports nécessaires pour la compiler seule.

msil-susp-obf-antidump.yarDetection Rule License 1.1
import "dotnet"

rule DR4K0NIA_Msil_Susp_Obf_Antidump : FILE
{
	meta:
		description = "No description has been set in the source file - Dr4k0nia"
		author = "dr4k0nia"
		id = "d9217ade-a016-548e-b63f-f6ee78ff8775"
		date = "2023-12-03"
		modified = "2023-03-13"
		reference = "https://github.com/dr4k0nia/yara-rules"
		source_url = "https://github.com/dr4k0nia/yara-rules/blob/4b10f9b79a4cfb3ec9cb5675f32cc7ee6885fbd8/dotnet/msil_susp_obf_antidump.yar#L7-L39"
		license_url = "https://github.com/dr4k0nia/yara-rules/blob/4b10f9b79a4cfb3ec9cb5675f32cc7ee6885fbd8/LICENSE.md"
		hash = "ef7bb2464a2b430aa98bd65a1a40b851b57cb909ac0aea3e53729c0ff900fa42"
		logic_hash = "18cfc720f54b2178398f8214591a3fb777ea11e67a8a6d2ce26cc4891a62fd35"
		score = 65
		quality = 85
		tags = "FILE"
		version = "1.0"

	strings:
		$import0 = "ZeroMemory"
		$import1 = "VirtualProtect"
		$importt2 = "GetCurrentProcess"
		$array0 = {08 00 00 00 0c 00 00 00 10 00 00 00 14 00 00 00
		18 00 00 00 1c 00 00 00 24 00 00 00}
		$array1 = {04 00 00 00 16 00 00 00 18 00 00 00 40 00 00 00
		42 00 00 00 44 00 00 00 46 00 00 00 48 00 00 00
		4a 00 00 00 4c 00 00 00 5c 00 00 00 5e 00 00 00}
		$array2 = {00 00 00 00 08 00 00 00 0c 00 00 00 10 00 00 00
		16 00 00 00 1c 00 00 00 20 00 00 00 28 00 00 00
		2c 00 00 00 34 00 00 00 3c 00 00 00 4c 00 00 00
		50 00 00 00 54 00 00 00 58 00 00 00 60 00 00 00
		64 00 00 00 68 00 00 00 6c 00 00 00 70 00 00 00
		74 00 00 00 04 01 00 00 08 01 00 00 0c 01 00 00
		10 01 00 00 14 01 00 00 1c 01 00 00}

	condition:
		uint16( 0 ) == 0x5a4d and dotnet.is_dotnet and all of them
}

Chaînes (6 motifs)

IdentifiantTypeValeurModificateurs
$import0texte"ZeroMemory"
$import1texte"VirtualProtect"
$importt2texte"GetCurrentProcess"
$array0hex{08 00 00 00 0c 00 00 00 10 00 00 00 14 00 00 00 18 00 00 00 1c 00 00 00 24 00 00 00}
$array1hex{04 00 00 00 16 00 00 00 18 00 00 00 40 00 00 00 42 00 00 00 44 00 00 00 46 00 00 00 48 00 00 00 4a 00 00 00 4c 00 00 00 5c 00 00 00 5e 00 00 00}
$array2hex{00 00 00 00 08 00 00 00 0c 00 00 00 10 00 00 00 16 00 00 00 1c 00 00 00 20 00 00 00 28 00 00 00 2c 00 00 00 34 00 00 00 3c 00 00 00 4c 00 00 00 50 00 00 …

Condition

uint16( 0 ) == 0x5a4d and dotnet.is_dotnet and all of them

En clair (Heuristique)

  • Le fichier doit commencer par « MZ » — un exécutable Windows (PE).
  • Tous les motifs de la règle doivent être trouvés.
  • Utilise le module dotnet.

Tester cette règle dans votre navigateur

Déposez un fichier pour le scanner avec cette règle grâce à YARA-X compilé en WebAssembly. Rien n’est envoyé.

Déposez un fichier ici ou cliquez pour choisirScanné localement avec YARA-X. Fichiers jusqu’à 200 Mo.

Ouvrir dans l’éditeur

Références

Hashes d’échantillons

Hashes des échantillons listés par l’auteur dans les métadonnées de la règle (à rechercher dans votre plateforme de threat intelligence).

  • ef7bb2464a2b430aa98bd65a1a40b851b57cb909ac0aea3e53729c0ff900fa42

Licence et attribution

Auteur : dr4k0nia

Dépôt source : dr4k0nia yara-rules @ 4b10f9b79a

Licence : Detection Rule License 1.1 (licence du dépôt)

Règle d’origine

Reprise via YARA Forge 20260927, qui préfixe les noms de règles par la source et ajoute des champs meta normalisés.

Identifiant de règle: d9217ade-a016-548e-b63f-f6ee78ff8775

Métadonnées

version1.0

Tags:FILE

Règles liées