Aller au contenu
yararules.org
Menu

YARA · dr4k0nia yara-rules

DR4K0NIA_Msil_Susp_Obf_Xorstringsnet

Detects XorStringsNET string encryption, and other obfuscators derived from it

Suspect / chassedr4k0nia yara-rulesDetection Rule License 1.1Compile avec YARA-X
Auteur
dr4k0nia
Date
2023-03-26
Score / Qualité
65 / 85

Ce que détecte cette règle

Detects XorStringsNET string encryption, and other obfuscators derived from it

Cibles : PE Windows, Assembly .NET.

Elle définit 1 motifs (0 texte, 1 hex, 0 regex). Modules YARA utilisés : dotnet.

Résumé généré à partir des métadonnées et de la condition de la règle.

Source de la règle

Télécharger .yar

Inclut les imports nécessaires pour la compiler seule.

msil-susp-obf-xorstringsnet.yarDetection Rule License 1.1
import "dotnet"

rule DR4K0NIA_Msil_Susp_Obf_Xorstringsnet : FILE
{
	meta:
		description = "Detects XorStringsNET string encryption, and other obfuscators derived from it"
		author = "dr4k0nia"
		id = "0bea654d-9244-5320-a815-691384decc74"
		date = "2023-03-26"
		modified = "2023-03-26"
		reference = "https://github.com/dr4k0nia/yara-rules"
		source_url = "https://github.com/dr4k0nia/yara-rules/blob/4b10f9b79a4cfb3ec9cb5675f32cc7ee6885fbd8/dotnet/msil_susp_obf_xorstringsnet.yar#L3-L16"
		license_url = "https://github.com/dr4k0nia/yara-rules/blob/4b10f9b79a4cfb3ec9cb5675f32cc7ee6885fbd8/LICENSE.md"
		logic_hash = "c494b5b64bcb63d1edd611206fb41eb9a23a940a72c3e9fc3f626e91482b1352"
		score = 65
		quality = 85
		tags = "FILE"
		version = "1.0"

	strings:
		$pattern = { 06 1E 58 07 8E 69 FE17 }

	condition:
		uint16( 0 ) == 0x5a4d and filesize < 25MB and dotnet.is_dotnet and $pattern
}

Chaînes (1 motifs)

IdentifiantTypeValeurModificateurs
$patternhex{ 06 1E 58 07 8E 69 FE17 }

Condition

uint16( 0 ) == 0x5a4d and filesize < 25MB and dotnet.is_dotnet and $pattern

En clair (Heuristique)

  • Le fichier doit commencer par « MZ » — un exécutable Windows (PE).
  • Le fichier doit faire moins de 25MB (garde-fou peu coûteux qui écarte les gros fichiers).
  • Utilise le module dotnet.
  • Le motif $pattern doit être présent.

Tester cette règle dans votre navigateur

Déposez un fichier pour le scanner avec cette règle grâce à YARA-X compilé en WebAssembly. Rien n’est envoyé.

Déposez un fichier ici ou cliquez pour choisirScanné localement avec YARA-X. Fichiers jusqu’à 200 Mo.

Ouvrir dans l’éditeur

Références

Licence et attribution

Auteur : dr4k0nia

Dépôt source : dr4k0nia yara-rules @ 4b10f9b79a

Licence : Detection Rule License 1.1 (licence du dépôt)

Règle d’origine

Reprise via YARA Forge 20260927, qui préfixe les noms de règles par la source et ajoute des champs meta normalisés.

Identifiant de règle: 0bea654d-9244-5320-a815-691384decc74

Métadonnées

version1.0

Tags:FILE

Règles liées