Aller au contenu
yararules.org
Menu

YARA · ESET malware-ioc

ESET_IIS_Group12

Detects Group 12 native IIS malware family

MalwareESET malware-iocBSD 2-Clause LicenseCompile avec YARA-X
Auteur
ESET Research
Date
2021-08-04
Score / Qualité
75 / 78

Ce que détecte cette règle

Detects Group 12 native IIS malware family

Elle définit 21 motifs (19 texte, 2 hex, 0 regex). Modules YARA utilisés : pe.

Résumé généré à partir des métadonnées et de la condition de la règle.

Source de la règle

Télécharger .yar

Inclut les imports et 1 règle(s) dont elle dépend nécessaires pour la compiler seule.

iis-group12.yarBSD 2-Clause License
import "pe"

private rule ESET_IIS_Native_Module_PRIVATE : FILE
{
	meta:
		description = "Signature to match an IIS native module (clean or malicious)"
		author = "ESET Research"
		id = "e3bacdc8-fde1-5e83-ac94-79fc345e888d"
		date = "2021-08-04"
		modified = "2021-08-04"
		reference = "https://github.com/eset/malware-ioc/"
		source_url = "https://github.com/eset/malware-ioc/blob/17baf44964a77368e9149f4f593eb098beddf1c5/badiis/badiis.yar#L34-L92"
		license_url = "https://github.com/eset/malware-ioc/blob/17baf44964a77368e9149f4f593eb098beddf1c5/LICENSE"
		logic_hash = "5a388dc3253df606e2648d1f9c018e6dde373bbddce66dba69b7aecdd95bac18"
		score = 75
		quality = 55
		tags = "FILE"
		license = "BSD 2-Clause"
		version = "1"

	strings:
		$e1 = "This module subscribed to event"
		$e2 = "CHttpModule::OnBeginRequest"
		$e3 = "CHttpModule::OnPostBeginRequest"
		$e4 = "CHttpModule::OnAuthenticateRequest"
		$e5 = "CHttpModule::OnPostAuthenticateRequest"
		$e6 = "CHttpModule::OnAuthorizeRequest"
		$e7 = "CHttpModule::OnPostAuthorizeRequest"
		$e8 = "CHttpModule::OnResolveRequestCache"
		$e9 = "CHttpModule::OnPostResolveRequestCache"
		$e10 = "CHttpModule::OnMapRequestHandler"
		$e11 = "CHttpModule::OnPostMapRequestHandler"
		$e12 = "CHttpModule::OnAcquireRequestState"
		$e13 = "CHttpModule::OnPostAcquireRequestState"
		$e14 = "CHttpModule::OnPreExecuteRequestHandler"
		$e15 = "CHttpModule::OnPostPreExecuteRequestHandler"
		$e16 = "CHttpModule::OnExecuteRequestHandler"
		$e17 = "CHttpModule::OnPostExecuteRequestHandler"
		$e18 = "CHttpModule::OnReleaseRequestState"
		$e19 = "CHttpModule::OnPostReleaseRequestState"
		$e20 = "CHttpModule::OnUpdateRequestCache"
		$e21 = "CHttpModule::OnPostUpdateRequestCache"
		$e22 = "CHttpModule::OnLogRequest"
		$e23 = "CHttpModule::OnPostLogRequest"
		$e24 = "CHttpModule::OnEndRequest"
		$e25 = "CHttpModule::OnPostEndRequest"
		$e26 = "CHttpModule::OnSendResponse"
		$e27 = "CHttpModule::OnMapPath"
		$e28 = "CHttpModule::OnReadEntity"
		$e29 = "CHttpModule::OnCustomRequestNotification"
		$e30 = "CHttpModule::OnAsyncCompletion"
		$e31 = "CGlobalModule::OnGlobalStopListening"
		$e32 = "CGlobalModule::OnGlobalCacheCleanup"
		$e33 = "CGlobalModule::OnGlobalCacheOperation"
		$e34 = "CGlobalModule::OnGlobalHealthCheck"
		$e35 = "CGlobalModule::OnGlobalConfigurationChange"
		$e36 = "CGlobalModule::OnGlobalFileChange"
		$e37 = "CGlobalModule::OnGlobalApplicationStart"
		$e38 = "CGlobalModule::OnGlobalApplicationResolveModules"
		$e39 = "CGlobalModule::OnGlobalApplicationStop"
		$e40 = "CGlobalModule::OnGlobalRSCAQuery"
		$e41 = "CGlobalModule::OnGlobalTraceEvent"
		$e42 = "CGlobalModule::OnGlobalCustomNotification"
		$e43 = "CGlobalModule::OnGlobalThreadCleanup"
		$e44 = "CGlobalModule::OnGlobalApplicationPreload"

	condition:
		uint16( 0 ) == 0x5A4D and pe.exports ( "RegisterModule" ) and any of ( $e* )
}

rule ESET_IIS_Group12
{
	meta:
		description = "Detects Group 12 native IIS malware family"
		author = "ESET Research"
		id = "7278f2df-d18a-5d95-9c21-37906629a7f0"
		date = "2021-08-04"
		modified = "2021-08-04"
		reference = "https://github.com/eset/malware-ioc/"
		source_url = "https://github.com/eset/malware-ioc/blob/17baf44964a77368e9149f4f593eb098beddf1c5/badiis/badiis.yar#L457-L495"
		license_url = "https://github.com/eset/malware-ioc/blob/17baf44964a77368e9149f4f593eb098beddf1c5/LICENSE"
		logic_hash = "8da03328e3702aff8ea5de77fc220f326030c31972d27c0bd9b5918dca550aba"
		score = 75
		quality = 78
		tags = ""
		license = "BSD 2-Clause"
		version = "1"

	strings:
		$s1 = "C:\\inetpub\\temp\\IIS Temporary Compressed Files\\"
		$s2 = "F5XFFHttpModule.dll"
		$s3 = "gtest_redir"
		$s4 = "\\cmd.exe" nocase
		$s5 = "iuuq;00"
		$s6 = "?xhost="
		$s7 = "&reurl="
		$s8 = "?jump=1"
		$s9 = "app|zqb"
		$s10 = "ifeng|ivc|sogou|so.com|baidu|google|youdao|yahoo|bing|118114|biso|gougou|sooule|360|sm|uc"
		$s11 = "sogou|so.com|baidu|google|youdao|yahoo|bing|gougou|sooule|360|sm.cn|uc"
		$s12 = "Hotcss/|Hotjs/"
		$s13 = "HotImg/|HotPic/"
		$s14 = "msf connect error !!"
		$s15 = "download ok !!"
		$s16 = "download error !! "
		$s17 = "param error !!"
		$s18 = "Real Path: "
		$s19 = "unknown cmd !"
		$b1 = {15 BD 01 2E [-] 5E 40 08 97 [-] CF 8C BE 30 [-] 28 42 C6 3B}
		$b2 = {E1 0A DC 39 [-] 49 BA 59 AB [-] BE 56 E0 57 [-] F2 0F 88 3E}

	condition:
		ESET_IIS_Native_Module_PRIVATE and 5 of them
}

Chaînes (21 motifs)

IdentifiantTypeValeurModificateurs
$s1texte"C:\\inetpub\\temp\\IIS Temporary Compressed Files\\"
$s2texte"F5XFFHttpModule.dll"
$s3texte"gtest_redir"
$s4texte"\\cmd.exe"nocase
$s5texte"iuuq;00"
$s6texte"?xhost="
$s7texte"&reurl="
$s8texte"?jump=1"
$s9texte"app|zqb"
$s10texte"ifeng|ivc|sogou|so.com|baidu|google|youdao|yahoo|bing|118114|biso|gougou|sooule|360|sm|uc"
$s11texte"sogou|so.com|baidu|google|youdao|yahoo|bing|gougou|sooule|360|sm.cn|uc"
$s12texte"Hotcss/|Hotjs/"
$s13texte"HotImg/|HotPic/"
$s14texte"msf connect error !!"
$s15texte"download ok !!"
$s16texte"download error !! "
$s17texte"param error !!"
$s18texte"Real Path: "
$s19texte"unknown cmd !"
$b1hex{15 BD 01 2E [-] 5E 40 08 97 [-] CF 8C BE 30 [-] 28 42 C6 3B}
$b2hex{E1 0A DC 39 [-] 49 BA 59 AB [-] BE 56 E0 57 [-] F2 0F 88 3E}

Condition

ESET_IIS_Native_Module_PRIVATE and 5 of them

En clair (Heuristique)

  • Au moins 5 motifs de la règle doivent être trouvés.
  • Dépend de la règle ESET_IIS_Native_Module_PRIVATE.

Tester cette règle dans votre navigateur

Déposez un fichier pour le scanner avec cette règle grâce à YARA-X compilé en WebAssembly. Rien n’est envoyé.

Déposez un fichier ici ou cliquez pour choisirScanné localement avec YARA-X. Fichiers jusqu’à 200 Mo.

Ouvrir dans l’éditeur

Références

Licence et attribution

Auteur : ESET Research

Dépôt source : ESET malware-ioc @ 17baf44964

Licence : BSD 2-Clause License (indiquée dans les métadonnées de la règle)

“BSD 2-Clause”

Mention de copyright : Copyright (c) 2014-2018 ESET spol. s r.o.

Règle d’origine

Reprise via YARA Forge 20260927, qui préfixe les noms de règles par la source et ajoute des champs meta normalisés.

Identifiant de règle: 7278f2df-d18a-5d95-9c21-37906629a7f0

Métadonnées

version1

Règles liées