YARA · SEKOIA.IO Community

SEKOIA_Rat_Win_Nighthawk

Detects Nighthawk RAT

MalwareNighthawkSEKOIA.IO CommunityDetection Rule License 1.1Compile avec YARA-X (avertissements)

Auteur: Sekoia.io
Date: 2022-11-23
Modifiée: 2024-12-19
Score / Qualité: 75 / 80

Ce que détecte cette règle

Detects Nighthawk RAT

Famille de malware associée : Nighthawk.

Cibles : PE Windows.

Elle définit 2 motifs (0 texte, 2 hex, 0 regex). Modules YARA utilisés : pe.

YARA-X indique : warning[non_bool_expr]: non-boolean expression used as boolean

Résumé généré à partir des métadonnées et de la condition de la règle.

Source de la règle

Télécharger .yar

Inclut les imports nécessaires pour la compiler seule.

rat-win-nighthawk.yarDetection Rule License 1.1

import "pe"

rule SEKOIA_Rat_Win_Nighthawk : FILE
{
	meta:
		description = "Detects Nighthawk RAT"
		author = "Sekoia.io"
		id = "91bc3c5b-83fd-47f8-9652-df0f6a70b693"
		date = "2022-11-23"
		modified = "2024-12-19"
		reference = "https://github.com/SEKOIA-IO/Community"
		source_url = "https://github.com/SEKOIA-IO/Community/blob/a438a5901a211c2abdf75da9c93921ef187473d1/yara_rules/rat_win_nighthawk.yar#L3-L25"
		license_url = "https://github.com/SEKOIA-IO/Community/blob/a438a5901a211c2abdf75da9c93921ef187473d1/LICENSE.md"
		hash = "0551ca07f05c2a8278229c1dc651a2b1273a39914857231b075733753cb2b988"
		hash = "9a57919cc5c194e28acd62719487c563a8f0ef1205b65adbe535386e34e418b8"
		hash = "38881b87826f184cc91559555a3456ecf00128e01986a9df36a72d60fb179ccf"
		hash = "f3bba2bfd4ed48b5426e36eba3b7613973226983a784d24d7a20fcf9df0de74e"
		hash = "b775a8f7629966592cc7727e2081924a7d7cf83edd7447aa60627a2b67d87c94"
		logic_hash = "9a0c72de5b097f74d3c44586b8355c410470992f37d9a09c5f6db36ad6286d70"
		score = 75
		quality = 80
		tags = "FILE"
		version = "1.0"
		classification = "TLP:CLEAR"

	strings:
		$pattern1 = { 48 8d 0d ?? ?? ?? ?? 51 5a 48 81 c1 ?? ?? ?? ?? 48 81 c2 ?? ?? ?? ?? ff e2 }
		$pattern2 = { 66 03 D2 66 33 D1 66 C1 E2 02 66 33 D1 66 23 D0 0F B7 C1 }

	condition:
		uint16( 0 ) == 0x5A4D and filesize < 2MB and ( ( 1 of them ) or ( pe.section_index ( ".profile" ) and pe.section_index ( ".detourc" ) ) )
}

Chaînes (2 motifs)

Identifiant	Type	Valeur	Modificateurs
$pattern1	hex	{ 48 8d 0d ?? ?? ?? ?? 51 5a 48 81 c1 ?? ?? ?? ?? 48 81 c2 ?? ?? ?? ?? ff e2 }
$pattern2	hex	{ 66 03 D2 66 33 D1 66 C1 E2 02 66 33 D1 66 23 D0 0F B7 C1 }

Condition

uint16( 0 ) == 0x5A4D and filesize < 2MB and ( ( 1 of them ) or ( pe.section_index ( ".profile" ) and pe.section_index ( ".detourc" ) ) )

En clair (Heuristique)

Le fichier doit commencer par « MZ » — un exécutable Windows (PE).
Le fichier doit faire moins de 2MB (garde-fou peu coûteux qui écarte les gros fichiers).
Au moins 1 motifs de la règle doivent être trouvés.
Utilise le module pe.
Vérifie les sections PE (noms, nombre ou propriétés).

Tester cette règle dans votre navigateur

Déposez un fichier pour le scanner avec cette règle grâce à YARA-X compilé en WebAssembly. Rien n’est envoyé.

Déposez un fichier ici ou cliquez pour choisirScanné localement avec YARA-X. Fichiers jusqu’à 200 Mo.

Ouvrir dans l’éditeur

Références

https://github.com/SEKOIA-IO/Community

Hashes d’échantillons

Hashes des échantillons listés par l’auteur dans les métadonnées de la règle (à rechercher dans votre plateforme de threat intelligence).

0551ca07f05c2a8278229c1dc651a2b1273a39914857231b075733753cb2b988
9a57919cc5c194e28acd62719487c563a8f0ef1205b65adbe535386e34e418b8
38881b87826f184cc91559555a3456ecf00128e01986a9df36a72d60fb179ccf
f3bba2bfd4ed48b5426e36eba3b7613973226983a784d24d7a20fcf9df0de74e
b775a8f7629966592cc7727e2081924a7d7cf83edd7447aa60627a2b67d87c94

Licence et attribution

Auteur : Sekoia.io

Dépôt source : SEKOIA.IO Community @ a438a5901a

Licence : Detection Rule License 1.1 (licence du dépôt)

Règle d’origine

Reprise via YARA Forge 20260927, qui préfixe les noms de règles par la source et ajoute des champs meta normalisés.

Identifiant de règle: 91bc3c5b-83fd-47f8-9652-df0f6a70b693

Métadonnées

version	1.0
classification	TLP:CLEAR

Tags:FILE

SIGNATURE_BASE_EXT_HKTL_Nighthawk_RAT
Outil offensifSignature Base (Florian Roth / Nextron)· Frank Boldewin (@r3c0nst)· 2022-11-22
SIGNATURE_BASE_HKTL_MAL_Nighthawk_Nov_2022_1
Outil offensifSignature Base (Florian Roth / Nextron)· Arkbird_SOLG· 2022-11-22
MALPEDIA_Win_Nighthawk_Auto
Outil offensifMalpedia signator rules· Felix Bilstein - yara-signator at cocacoding dot com· 2026-05-04
CAPE_Nighthawk
Outil offensifCAPE Sandbox (CAPEv2)· Nikhil Ashok Hegde <@ka1do9>· 2022-12-03
R3C0NST_Nighthawk_RATMétadonnées seules
Outil offensifFrank Boldewin (R3c0nst)· Frank Boldewin (@r3c0nst)· 2022-11-30
SEKOIA_Downloader_Kimsuky_Lnk
MalwareSEKOIA.IO Community· Sekoia.io· 2024-07-16
SEKOIA_Downloader_Win_Cobianrat
MalwareSEKOIA.IO Community· Sekoia.io· 2024-08-23
SEKOIA_Infostealer_Win_Acrstealer_Str
MalwareSEKOIA.IO Community· Sekoia.io· 2024-04-22

Plus de règles Nighthawk