Aller au contenu
yararules.org
Menu

YARA · Mandiant red team tool countermeasures

FIREEYE_RT_APT_Backdoor_Win_Gorat_Memory

Identifies GoRat malware in memory based on strings.

APT / acteurMandiant red team tool countermeasuresBSD 2-Clause LicenseCompile avec YARA-X (avertissements)
Auteur
FireEye
Date
2020-12-08
Modifiée
2020-12-09
Score / Qualité
75 / 75

Ce que détecte cette règle

Identifies GoRat malware in memory based on strings.

Elle définit 13 motifs (13 texte, 0 hex, 0 regex).

YARA-X indique : warning[duplicate_pattern_value]: duplicate pattern value

Résumé généré à partir des métadonnées et de la condition de la règle.

Source de la règle

Télécharger .yar
apt-backdoor-win-gorat-memory.yarBSD 2-Clause License
rule FIREEYE_RT_APT_Backdoor_Win_Gorat_Memory
{
	meta:
		description = "Identifies GoRat malware in memory based on strings."
		author = "FireEye"
		id = "16fb1db7-711c-5d8d-9203-738c94f253fe"
		date = "2020-12-08"
		modified = "2020-12-09"
		reference = "https://github.com/mandiant/red_team_tool_countermeasures/"
		source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/REDFLARE (Gorat)/production/yara/APT_Backdoor_Win_GoRat_Memory.yar#L4-L27"
		license_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/LICENSE.txt"
		hash = "3b926b5762e13ceec7ac3a61e85c93bb"
		logic_hash = "88272e59325d106f96d6b6f1d57daf968823c1e760067dee0334c66c521ce8c2"
		score = 75
		quality = 75
		tags = ""
		rev = 1

	strings:
		$murica = "murica" fullword
		$rat1 = "rat/modules/socks.(*HTTPProxyClient).beacon" fullword
		$rat2 = "rat.(*Core).generateBeacon" fullword
		$rat3 = "rat.gJitter" fullword
		$rat4 = "rat/comms.(*protectedChannel).SendCmdResponse" fullword
		$rat5 = "rat/modules/filemgmt.(*acquire).NewCommandExecution" fullword
		$rat6 = "rat/modules/latlisten.(*latlistensrv).handleCmd" fullword
		$rat7 = "rat/modules/netsweeper.(*netsweeperRunner).runSweep" fullword
		$rat8 = "rat/modules/netsweeper.(*Pinger).listen" fullword
		$rat9 = "rat/modules/socks.(*HTTPProxyClient).beacon" fullword
		$rat10 = "rat/platforms/win/dyloader.(*memoryLoader).ExecutePluginFunction" fullword
		$rat11 = "rat/platforms/win/modules/namedpipe.(*dummy).Open" fullword
		$winblows = "rat/platforms/win.(*winblows).GetStage" fullword

	condition:
		$winblows or #murica > 10 or 3 of ( $rat* )
}

Chaînes (13 motifs)

IdentifiantTypeValeurModificateurs
$muricatexte"murica"fullword
$rat1texte"rat/modules/socks.(*HTTPProxyClient).beacon"fullword
$rat2texte"rat.(*Core).generateBeacon"fullword
$rat3texte"rat.gJitter"fullword
$rat4texte"rat/comms.(*protectedChannel).SendCmdResponse"fullword
$rat5texte"rat/modules/filemgmt.(*acquire).NewCommandExecution"fullword
$rat6texte"rat/modules/latlisten.(*latlistensrv).handleCmd"fullword
$rat7texte"rat/modules/netsweeper.(*netsweeperRunner).runSweep"fullword
$rat8texte"rat/modules/netsweeper.(*Pinger).listen"fullword
$rat9texte"rat/modules/socks.(*HTTPProxyClient).beacon"fullword
$rat10texte"rat/platforms/win/dyloader.(*memoryLoader).ExecutePluginFunction"fullword
$rat11texte"rat/platforms/win/modules/namedpipe.(*dummy).Open"fullword
$winblowstexte"rat/platforms/win.(*winblows).GetStage"fullword

Condition

$winblows or #murica > 10 or 3 of ( $rat* )

En clair (Heuristique)

  • Au moins 3 motifs de ( $rat* ) doivent être trouvés.
  • Le motif $murica doit apparaître > 10 fois.
  • Le motif $winblows doit être présent.

Tester cette règle dans votre navigateur

Déposez un fichier pour le scanner avec cette règle grâce à YARA-X compilé en WebAssembly. Rien n’est envoyé.

Déposez un fichier ici ou cliquez pour choisirScanné localement avec YARA-X. Fichiers jusqu’à 200 Mo.

Ouvrir dans l’éditeur

Références

Hashes d’échantillons

Hashes des échantillons listés par l’auteur dans les métadonnées de la règle (à rechercher dans votre plateforme de threat intelligence).

  • 3b926b5762e13ceec7ac3a61e85c93bb

Licence et attribution

Auteur : FireEye

Dépôt source : Mandiant red team tool countermeasures @ 3561b71724

Licence : BSD 2-Clause License (licence du dépôt)

Mention de copyright : Copyright (c) 2023, MANDIANT

Règle d’origine

Reprise via YARA Forge 20260927, qui préfixe les noms de règles par la source et ajoute des champs meta normalisés.

Identifiant de règle: 16fb1db7-711c-5d8d-9203-738c94f253fe

Métadonnées

rev1

Règles liées