YARA · ESET malware-ioc

ESET_Apt_Windows_TA410_Lookback_Strings

Matches multiple strings and export names in TA410 LookBack.

APT / acteurLookbackESET malware-iocBSD 2-Clause LicenseCompile avec YARA-X

Auteur: ESET Research
Date: 2021-10-12
Modifiée: 2022-04-27
Score / Qualité: 75 / 80

Ce que détecte cette règle

Matches multiple strings and export names in TA410 LookBack.

Famille de malware associée : Lookback.

Cibles : PE Windows.

Elle définit 6 motifs (6 texte, 0 hex, 0 regex). Modules YARA utilisés : pe.

Résumé généré à partir des métadonnées et de la condition de la règle.

Source de la règle

Télécharger .yar

Inclut les imports nécessaires pour la compiler seule.

apt-windows-ta410-lookback-strings.yarBSD 2-Clause License

import "pe"

rule ESET_Apt_Windows_TA410_Lookback_Strings : FILE
{
	meta:
		description = "Matches multiple strings and export names in TA410 LookBack."
		author = "ESET Research"
		id = "b693c468-5abf-579d-bc03-67f67339feb9"
		date = "2021-10-12"
		modified = "2022-04-27"
		reference = "https://github.com/eset/malware-ioc/"
		source_url = "https://github.com/eset/malware-ioc/blob/17baf44964a77368e9149f4f593eb098beddf1c5/ta410/ta410.yar#L311-L331"
		license_url = "https://github.com/eset/malware-ioc/blob/17baf44964a77368e9149f4f593eb098beddf1c5/LICENSE"
		logic_hash = "d17ed604e3691c20fe489f95197b7b802ec951ed13d538fa6643449485b326b2"
		score = 75
		quality = 80
		tags = "FILE"
		license = "BSD 2-Clause"
		version = "1"

	strings:
		$s1 = "SodomMainFree" ascii wide
		$s2 = "SodomMainInit" ascii wide
		$s3 = "SodomNormal.bin" ascii wide
		$s4 = "SodomHttp.bin" ascii wide
		$s5 = "sodom.ini" ascii wide
		$s6 = "SodomMainProc" ascii wide

	condition:
		uint16( 0 ) == 0x5a4d and ( 2 of them or pe.exports ( "SodomBodyLoad" ) or pe.exports ( "SodomBodyLoadTest" ) )
}

Chaînes (6 motifs)

Identifiant	Type	Valeur	Modificateurs
$s1	texte	"SodomMainFree"	ascii wide
$s2	texte	"SodomMainInit"	ascii wide
$s3	texte	"SodomNormal.bin"	ascii wide
$s4	texte	"SodomHttp.bin"	ascii wide
$s5	texte	"sodom.ini"	ascii wide
$s6	texte	"SodomMainProc"	ascii wide

Condition

uint16( 0 ) == 0x5a4d and ( 2 of them or pe.exports ( "SodomBodyLoad" ) or pe.exports ( "SodomBodyLoadTest" ) )

En clair (Heuristique)

Le fichier doit commencer par « MZ » — un exécutable Windows (PE).
Au moins 2 motifs de la règle doivent être trouvés.
Utilise le module pe.
Vérifie des fonctions exportées ou le nom de la DLL.

Tester cette règle dans votre navigateur

Déposez un fichier pour le scanner avec cette règle grâce à YARA-X compilé en WebAssembly. Rien n’est envoyé.

Déposez un fichier ici ou cliquez pour choisirScanné localement avec YARA-X. Fichiers jusqu’à 200 Mo.

Ouvrir dans l’éditeur

Références

https://github.com/eset/malware-ioc/

Licence et attribution

Auteur : ESET Research

Dépôt source : ESET malware-ioc @ 17baf44964

Licence : BSD 2-Clause License (indiquée dans les métadonnées de la règle)

“BSD 2-Clause”

Règle d’origine

Reprise via YARA Forge 20260927, qui préfixe les noms de règles par la source et ajoute des champs meta normalisés.

Identifiant de règle: b693c468-5abf-579d-bc03-67f67339feb9

Métadonnées

version	1

Tags:FILE

ESET_Apt_Windows_TA410_Lookback_Decryption
APT / acteurESET malware-ioc· ESET Research· 2021-10-12
ESET_Apt_Windows_TA410_Lookback_HTTP
APT / acteurESET malware-ioc· ESET Research· 2021-10-12
ESET_Apt_Windows_TA410_Lookback_Loader
APT / acteurESET malware-ioc· ESET Research· 2021-10-12
ESET_Apt_Windows_TA410_Lookback_Magic
APT / acteurESET malware-ioc· ESET Research· 2021-10-12
MALPEDIA_Win_Lookback_Auto
MalwareMalpedia signator rules· Felix Bilstein - yara-signator at cocacoding dot com· 2026-05-04
ESET_Apt_Windows_Invisimole
APT / acteurESET malware-ioc· ESET Research· 2021-05-17
ESET_Apt_Windows_Invisimole_CPL_Loader
APT / acteurESET malware-ioc· ESET Research· 2021-05-17
ESET_Apt_Windows_Invisimole_DNS_Downloader
APT / acteurESET malware-ioc· ESET Research· 2021-05-17

Plus de règles Lookback