YARA · Signature Base (Florian Roth / Nextron)

SIGNATURE_BASE_APT_MAL_Gopuram_Backdoor_Apr23

Detects Gopuram backdoor

APT / acteurGopuramSignature Base (Florian Roth / Nextron)Detection Rule License 1.1Compile avec YARA-X (avertissements)

Auteur: X__Junior (Nextron Systems)
Date: 2023-02-24
Modifiée: 2023-12-05
Score / Qualité: 80 / 85

Ce que détecte cette règle

Detects Gopuram backdoor

Famille de malware associée : Gopuram.

Cibles : PE Windows.

Elle définit 4 motifs (1 texte, 3 hex, 0 regex). Modules YARA utilisés : pe.

YARA-X indique : warning[non_bool_expr]: non-boolean expression used as boolean

Résumé généré à partir des métadonnées et de la condition de la règle.

Source de la règle

Télécharger .yar

Inclut les imports nécessaires pour la compiler seule.

apt-mal-gopuram-backdoor-apr23.yarDetection Rule License 1.1

import "pe"

rule SIGNATURE_BASE_APT_MAL_Gopuram_Backdoor_Apr23 : FILE
{
	meta:
		description = "Detects Gopuram backdoor"
		author = "X__Junior (Nextron Systems)"
		id = "3ae5ddcb-5601-5dca-85dd-0a4772577fae"
		date = "2023-02-24"
		modified = "2023-12-05"
		reference = "https://securelist.com/gopuram-backdoor-deployed-through-3cx-supply-chain-attack/109344/"
		source_url = "https://github.com/Neo23x0/signature-base/blob/94a1c48d7ab499879287ff611dfe7f9c56376030/yara/apt_mal_gopuram_apr23.yar#L20-L41"
		license_url = "https://github.com/Neo23x0/signature-base/blob/94a1c48d7ab499879287ff611dfe7f9c56376030/LICENSE"
		hash = "beb775af5196f30e0ee021790a4978ca7a7ac2a7cf970a5a620ffeb89cc60b2c"
		hash = "97b95b4a5461f950e712b82783930cb2a152ec0288c00a977983ca7788342df7"
		logic_hash = "aa3dd1f35d27d23eb775410cceae81d5b767dc0f1636aac67f2d2e988a3ed995"
		score = 80
		quality = 85
		tags = "FILE"

	strings:
		$x1 = "%s\\config\\TxR\\%s.TxR.0.regtrans-m" ascii
		$xop = { D1 E8 33 C3 D1 EB A8 01 74 ?? 81 F3 25 A3 87 DE D1 E8 33 C3 D1 EB A8 01 74 ?? 81 F3 25 A3 87 DE D1 E8 33 C3 D1 EB A8 01 74 ?? 81 F3 25 A3 87 DE D1 E8 33 C3 D1 EB A8 01 74 ?? 81 F3 25 A3 87 DE }
		$opa1 = { 48 89 44 24 ?? 45 33 C9 45 33 C0 33 D2 89 5C 24 ?? 48 89 74 24 ?? 48 89 5C 24 ?? 89 7C 24 ?? FF 15 ?? ?? ?? ?? 85 C0 74 ?? 48 8B 4C 24 ?? 4C 8D 4C 24 ?? 44 8D 43 }
		$opa2 = { 48 89 B4 24 ?? ?? ?? ?? 44 8D 43 ?? 33 D2 48 89 BC 24 ?? ?? ?? ?? 4C 89 B4 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B 4C 24 ?? E8 ?? ?? ?? ?? 48 8B 4C 24 ?? 45 33 C0 33 D2 8B F8 E8 ?? ?? ?? ?? 8D 4F ?? E8 ?? ?? ?? ?? 4C 8B 4C 24 ?? 44 8D 43 ?? 48 8B C8 8B D7 48 8B F0 44 8B F7 E8 ?? ?? ?? ?? 48 8B 4C 24 ?? E8  }

	condition:
		( uint16( 0 ) == 0x5A4D and filesize < 2MB and pe.characteristics & pe.DLL and 1 of ( $x* ) ) or all of ( $opa* )
}

Chaînes (4 motifs)

Identifiant	Type	Valeur	Modificateurs
$x1	texte	"%s\\config\\TxR\\%s.TxR.0.regtrans-m"	ascii
$xop	hex	{ D1 E8 33 C3 D1 EB A8 01 74 ?? 81 F3 25 A3 87 DE D1 E8 33 C3 D1 EB A8 01 74 ?? 81 F3 25 A3 87 DE D1 E8 33 C3 D1 EB A8 01 74 ?? 81 F3 25 A3 87 DE D1 E8 33 C3 D1 …
$opa1	hex	{ 48 89 44 24 ?? 45 33 C9 45 33 C0 33 D2 89 5C 24 ?? 48 89 74 24 ?? 48 89 5C 24 ?? 89 7C 24 ?? FF 15 ?? ?? ?? ?? 85 C0 74 ?? 48 8B 4C 24 ?? 4C 8D 4C 24 ?? 44 8D …
$opa2	hex	{ 48 89 B4 24 ?? ?? ?? ?? 44 8D 43 ?? 33 D2 48 89 BC 24 ?? ?? ?? ?? 4C 89 B4 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B 4C 24 ?? E8 ?? ?? ?? ?? 48 8B 4C 24 ?? 45 33 C0 …

Condition

( uint16( 0 ) == 0x5A4D and filesize < 2MB and pe.characteristics & pe.DLL and 1 of ( $x* ) ) or all of ( $opa* )

En clair (Heuristique)

Le fichier doit commencer par « MZ » — un exécutable Windows (PE).
Le fichier doit faire moins de 2MB (garde-fou peu coûteux qui écarte les gros fichiers).
Tous les motifs de ( $opa* ) doivent être trouvés.
Au moins 1 motifs de ( $x* ) doivent être trouvés.
Utilise le module pe.
Exige une DLL.

Tester cette règle dans votre navigateur

Déposez un fichier pour le scanner avec cette règle grâce à YARA-X compilé en WebAssembly. Rien n’est envoyé.

Déposez un fichier ici ou cliquez pour choisirScanné localement avec YARA-X. Fichiers jusqu’à 200 Mo.

Ouvrir dans l’éditeur

Références

https://securelist.com/gopuram-backdoor-deployed-through-3cx-supply-chain-attack/109344/

Hashes d’échantillons

Hashes des échantillons listés par l’auteur dans les métadonnées de la règle (à rechercher dans votre plateforme de threat intelligence).

beb775af5196f30e0ee021790a4978ca7a7ac2a7cf970a5a620ffeb89cc60b2c
97b95b4a5461f950e712b82783930cb2a152ec0288c00a977983ca7788342df7

Licence et attribution

Auteur : X__Junior (Nextron Systems)

Dépôt source : Signature Base (Florian Roth / Nextron) @ 94a1c48d7a

Licence : Detection Rule License 1.1 (licence du dépôt)

Règle d’origine

Reprise via YARA Forge 20260927, qui préfixe les noms de règles par la source et ajoute des champs meta normalisés.

Identifiant de règle: 3ae5ddcb-5601-5dca-85dd-0a4772577fae

Tags:FILE

SIGNATURE_BASE_MAL_Shellcode_Loader_Apr23
MalwareSignature Base (Florian Roth / Nextron)· X__Junior (Nextron Systems)· 2023-04-03
SIGNATURE_BASE_MAL_Gopuram_Apr23
MalwareSignature Base (Florian Roth / Nextron)· Arnim Rupp (https://github.com/ruppde)· 2023-04-04
SEKOIA_Apt_Lazarus_Gopuram_Backdoor
APT / acteurSEKOIA.IO Community· Sekoia.io· 2023-04-04
MALPEDIA_Win_Gopuram_Auto
MalwareMalpedia signator rules· Felix Bilstein - yara-signator at cocacoding dot com· 2026-05-04
SIGNATURE_BASE_MAL_3Cxdesktopapp_Macos_Backdoor_Mar23
MalwareSignature Base (Florian Roth / Nextron)· X__Junior (Nextron Systems)· 2023-03-30
SIGNATURE_BASE_SUSP_Vulndriver_HP_Hardware_Diagnostics_Etdsupp_May23
Suspect / chasseSignature Base (Florian Roth / Nextron)· X__Junior (Nextron Systems)· 2023-05-12

Plus de règles Gopuram