YARA · SEKOIA.IO Community

SEKOIA_Apt_Lazarus_Gopuram_Backdoor

Detects Gopuram Backdoor

APT / acteurGopuramSEKOIA.IO CommunityDetection Rule License 1.1Compile avec YARA-X (avertissements)

Auteur: Sekoia.io
Date: 2023-04-04
Modifiée: 2024-12-19
Score / Qualité: 75 / 80

Ce que détecte cette règle

Detects Gopuram Backdoor

Famille de malware associée : Gopuram.

Cibles : PE Windows.

Elle définit 4 motifs (1 texte, 3 hex, 0 regex). Modules YARA utilisés : pe.

YARA-X indique : warning[non_bool_expr]: non-boolean expression used as boolean

Résumé généré à partir des métadonnées et de la condition de la règle.

Source de la règle

Télécharger .yar

Inclut les imports nécessaires pour la compiler seule.

apt-lazarus-gopuram-backdoor.yarDetection Rule License 1.1

import "pe"

rule SEKOIA_Apt_Lazarus_Gopuram_Backdoor : FILE
{
	meta:
		description = "Detects Gopuram Backdoor"
		author = "Sekoia.io"
		id = "947d4ee3-79fa-450b-8482-beafe607baae"
		date = "2023-04-04"
		modified = "2024-12-19"
		reference = "https://github.com/SEKOIA-IO/Community"
		source_url = "https://github.com/SEKOIA-IO/Community/blob/a438a5901a211c2abdf75da9c93921ef187473d1/yara_rules/apt_lazarus_gopuram_backdoor.yar#L3-L24"
		license_url = "https://github.com/SEKOIA-IO/Community/blob/a438a5901a211c2abdf75da9c93921ef187473d1/LICENSE.md"
		hash = "97b95b4a5461f950e712b82783930cb2a152ec0288c00a977983ca7788342df7"
		hash = "beb775af5196f30e0ee021790a4978ca7a7ac2a7cf970a5a620ffeb89cc60b2c"
		logic_hash = "c019b65d28a7b0edf408a1a159a7535e7e14593bbd42c8df3201108ed02f96c0"
		score = 75
		quality = 80
		tags = "FILE"
		version = "1.0"
		classification = "TLP:CLEAR"

	strings:
		$x1 = "%s\\config\\TxR\\%s.TxR.0.regtrans-ms"
		$xop = {D1 E8 33 C3 D1 EB A8 01 74 ?? 81 F3 25 A3 87 DE D1 E8 33 C3 D1 EB A8 01 74 ?? 81 F3 25 A3 87 DE D1 E8 33 C3 D1 EB A8 01 74 ?? 81 F3 25 A3 87 DE D1 E8 33 C3 D1 EB A8 01 74 ?? 81 F3 25 A3 87 DE}
		$opa1 = {48 89 44 24 ?? 45 33 C9 45 33 C0 33 D2 89 5C 24 ?? 48 89 74 24 ?? 48 89 5C 24 ?? 89 7C 24 ?? FF 15 ?? ?? ?? ?? 85 C0 74 ?? 48 8B 4C 24 ?? 4C 8D 4C 24 ?? 44 8D 43 ??}
		$opa2 = {48 89 B4 24 ?? ?? ?? ?? 44 8D 43 ?? 33 D2 48 89 BC 24 ?? ?? ?? ?? 4C 89 B4 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B 4C 24 ?? E8 ?? ?? ?? ?? 48 8B 4C 24 ?? 45 33 C0 33 D2 8B F8 E8 ?? ?? ?? ?? 8D 4F ?? E8 ?? ?? ?? ?? 4C 8B 4C 24 ?? 44 8D 43 ?? 48 8B C8 8B D7 48 8B F0 44 8B F7 E8 ?? ?? ?? ?? 48 8B 4C 24 ?? E8 ?? ?? ??}

	condition:
		( uint16( 0 ) == 0x4d5a and filesize < 2MB and pe.characteristics & pe.DLL and 1 of ( $x* ) ) or all of ( $opa* )
}

Chaînes (4 motifs)

Identifiant	Type	Valeur
$x1	texte	"%s\\config\\TxR\\%s.TxR.0.regtrans-ms"
$xop	hex	{D1 E8 33 C3 D1 EB A8 01 74 ?? 81 F3 25 A3 87 DE D1 E8 33 C3 D1 EB A8 01 74 ?? 81 F3 25 A3 87 DE D1 E8 33 C3 D1 EB A8 01 74 ?? 81 F3 25 A3 87 DE D1 E8 33 C3 D1 …
$opa1	hex	{48 89 44 24 ?? 45 33 C9 45 33 C0 33 D2 89 5C 24 ?? 48 89 74 24 ?? 48 89 5C 24 ?? 89 7C 24 ?? FF 15 ?? ?? ?? ?? 85 C0 74 ?? 48 8B 4C 24 ?? 4C 8D 4C 24 ?? 44 8D …
$opa2	hex	{48 89 B4 24 ?? ?? ?? ?? 44 8D 43 ?? 33 D2 48 89 BC 24 ?? ?? ?? ?? 4C 89 B4 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B 4C 24 ?? E8 ?? ?? ?? ?? 48 8B 4C 24 ?? 45 33 C0 …

Condition

( uint16( 0 ) == 0x4d5a and filesize < 2MB and pe.characteristics & pe.DLL and 1 of ( $x* ) ) or all of ( $opa* )

En clair (Heuristique)

Le fichier doit faire moins de 2MB (garde-fou peu coûteux qui écarte les gros fichiers).
Tous les motifs de ( $opa* ) doivent être trouvés.
Au moins 1 motifs de ( $x* ) doivent être trouvés.
Utilise le module pe.
Exige une DLL.

Tester cette règle dans votre navigateur

Déposez un fichier pour le scanner avec cette règle grâce à YARA-X compilé en WebAssembly. Rien n’est envoyé.

Déposez un fichier ici ou cliquez pour choisirScanné localement avec YARA-X. Fichiers jusqu’à 200 Mo.

Ouvrir dans l’éditeur

Références

https://github.com/SEKOIA-IO/Community

Hashes d’échantillons

Hashes des échantillons listés par l’auteur dans les métadonnées de la règle (à rechercher dans votre plateforme de threat intelligence).

97b95b4a5461f950e712b82783930cb2a152ec0288c00a977983ca7788342df7
beb775af5196f30e0ee021790a4978ca7a7ac2a7cf970a5a620ffeb89cc60b2c

Licence et attribution

Auteur : Sekoia.io

Dépôt source : SEKOIA.IO Community @ a438a5901a

Licence : Detection Rule License 1.1 (licence du dépôt)

Règle d’origine

Reprise via YARA Forge 20260927, qui préfixe les noms de règles par la source et ajoute des champs meta normalisés.

Identifiant de règle: 947d4ee3-79fa-450b-8482-beafe607baae

Métadonnées

version	1.0
classification	TLP:CLEAR

Tags:FILE

SIGNATURE_BASE_APT_MAL_Gopuram_Backdoor_Apr23
APT / acteurSignature Base (Florian Roth / Nextron)· X__Junior (Nextron Systems)· 2023-02-24
SIGNATURE_BASE_MAL_Shellcode_Loader_Apr23
MalwareSignature Base (Florian Roth / Nextron)· X__Junior (Nextron Systems)· 2023-04-03
SIGNATURE_BASE_MAL_Gopuram_Apr23
MalwareSignature Base (Florian Roth / Nextron)· Arnim Rupp (https://github.com/ruppde)· 2023-04-04
MALPEDIA_Win_Gopuram_Auto
MalwareMalpedia signator rules· Felix Bilstein - yara-signator at cocacoding dot com· 2026-05-04
SEKOIA_Apt_Gobrat_2
APT / acteurSEKOIA.IO Community· Sekoia.io· 2024-09-10
SEKOIA_Apt_Icepeony_Icecache
APT / acteurSEKOIA.IO Community· Sekoia.io· 2024-10-21
SEKOIA_Apt_Icepeony_Iceevent
APT / acteurSEKOIA.IO Community· Sekoia.io· 2024-10-21
SEKOIA_Apt_Kimsuky_Fpspy
APT / acteurSEKOIA.IO Community· Sekoia.io· 2024-09-27

Plus de règles Gopuram