Aller au contenu
yararules.org
Menu

YARA · ESET malware-ioc

ESET_Sparklinggoblin_Etweventwrite

SparklingGoblin EtwEventWrite patching

GénériqueESET malware-iocBSD 2-Clause LicenseCompile avec YARA-X
Auteur
ESET Research
Date
2021-05-20
Modifiée
2021-08-26
Score / Qualité
75 / 80

Ce que détecte cette règle

SparklingGoblin EtwEventWrite patching

Elle définit 3 motifs (0 texte, 3 hex, 0 regex).

Résumé généré à partir des métadonnées et de la condition de la règle.

Source de la règle

Télécharger .yar
sparklinggoblin-etweventwrite.yarBSD 2-Clause License
rule ESET_Sparklinggoblin_Etweventwrite
{
	meta:
		description = "SparklingGoblin EtwEventWrite patching"
		author = "ESET Research"
		id = "27b36ee1-a98c-5174-a156-8e0b0d0a58cd"
		date = "2021-05-20"
		modified = "2021-08-26"
		reference = "https://github.com/eset/malware-ioc/"
		source_url = "https://github.com/eset/malware-ioc/blob/17baf44964a77368e9149f4f593eb098beddf1c5/sparklinggoblin/SparklingGoblin.yar#L370-L463"
		license_url = "https://github.com/eset/malware-ioc/blob/17baf44964a77368e9149f4f593eb098beddf1c5/LICENSE"
		hash = "2edbea43f5c40c867e5b6bbd93cc972525df598b"
		hash = "b6d245d3d49b06645c0578804064ce0c072cbe0f"
		hash = "8be6d5f040d0085c62b1459afc627707b0de89cf"
		hash = "4668302969fe122874fb2447a80378dcb671c86b"
		hash = "9bdecb08e16a23d271d0a3e836d9e7f83d7e2c3b"
		hash = "9ce7650f2c08c391a35d69956e171932d116b8bd"
		logic_hash = "45615dcc5302392c18052818071623a9d1a1008c460bdb24a4acfb4300356c6b"
		score = 75
		quality = 80
		tags = ""
		license = "BSD 2-Clause"

	strings:
		$chunk_1 = {
            48 8D 0D ?? ?? ?? ??
            C7 44 24 ?? 48 31 C0 C3
            FF 15 ?? ?? ?? ??
            48 8B C8
            48 8D 15 ?? ?? ?? ??
            FF 15 ?? ?? ?? ??
            83 64 24 ?? 00
            4C 8D 4C 24 ??
            BF 04 00 00 00
            48 8B C8
            8B D7
            48 8B D8
            44 8D 47 ??
            FF 15 ?? ?? ?? ??
            44 8B C7
            48 8D 54 24 ??
            48 8B CB
            E8 ?? ?? ?? ??
            44 8B 44 24 ??
            4C 8D 4C 24 ??
            8B D7
            48 8B CB
            FF 15 ?? ?? ?? ??
            48 8B 05 ?? ?? ?? ??
        }
		$chunk_2 = {
            55
            8B EC
            51
            51
            57
            68 08 1A 41 00
            66 C7 45 ?? C2 14
            C6 45 ?? 00
            FF 15 ?? ?? ?? ??
            68 10 1A 41 00
            50
            FF 15 ?? ?? ?? ??
            83 65 ?? 00
            8B F8
            8D 45 ??
            50
            6A 40
            6A 03
            57
            FF 15 ?? ?? ?? ??
            6A 03
            8D 45 ??
            50
            57
            E8 ?? ?? ?? ??
            83 C4 0C
            8D 45 ??
            50
            FF 75 ??
            6A 03
            57
            FF 15 ?? ?? ?? ??
        }
		$chunk_3 = {
            48 8D 0D ?? ?? ?? ??
            C7 44 24 ?? 48 31 C0 C3
            FF 15 ?? ?? ?? ??
            48 8B C8
            48 8D 15 ?? ?? ?? ??
            FF 15 ?? ?? ?? ??
        }

	condition:
		any of them
}

Chaînes (3 motifs)

IdentifiantTypeValeurModificateurs
$chunk_1hex{ 48 8D 0D ?? ?? ?? ?? C7 44 24 ?? 48 31 C0 C3 FF 15 ?? ?? ?? ?? 48 8B C8 48 8D 15 ?? ?? ?? ?? …
$chunk_2hex{ 55 8B EC 51 51 57 68 08 1A 41 00 66 C7 45 ?? C2 14 C6 45 ?? 00 …
$chunk_3hex{ 48 8D 0D ?? ?? ?? ?? C7 44 24 ?? 48 31 C0 C3 FF 15 ?? ?? ?? ?? 48 8B C8 48 8D 15 ?? ?? ?? ?? …

Condition

any of them

En clair (Heuristique)

  • Au moins un motif de la règle doit être trouvé.

Tester cette règle dans votre navigateur

Déposez un fichier pour le scanner avec cette règle grâce à YARA-X compilé en WebAssembly. Rien n’est envoyé.

Déposez un fichier ici ou cliquez pour choisirScanné localement avec YARA-X. Fichiers jusqu’à 200 Mo.

Ouvrir dans l’éditeur

Références

Hashes d’échantillons

Hashes des échantillons listés par l’auteur dans les métadonnées de la règle (à rechercher dans votre plateforme de threat intelligence).

  • 2edbea43f5c40c867e5b6bbd93cc972525df598b
  • b6d245d3d49b06645c0578804064ce0c072cbe0f
  • 8be6d5f040d0085c62b1459afc627707b0de89cf
  • 4668302969fe122874fb2447a80378dcb671c86b
  • 9bdecb08e16a23d271d0a3e836d9e7f83d7e2c3b
  • 9ce7650f2c08c391a35d69956e171932d116b8bd

Licence et attribution

Auteur : ESET Research

Dépôt source : ESET malware-ioc @ 17baf44964

Licence : BSD 2-Clause License (indiquée dans les métadonnées de la règle)

“BSD 2-Clause”

Mention de copyright : Copyright (c) 2014-2018 ESET spol. s r.o.

Règle d’origine

Reprise via YARA Forge 20260927, qui préfixe les noms de règles par la source et ajoute des champs meta normalisés.

Identifiant de règle: 27b36ee1-a98c-5174-a156-8e0b0d0a58cd

Règles liées