YARA · Signature Base (Florian Roth / Nextron)

SIGNATURE_BASE_APT_MAL_RU_WIN_Snake_Malware_May23_1

Hunting Russian Intelligence Snake Malware

APT / acteurWindows Malware SnakeSignature Base (Florian Roth / Nextron)MIT LicenseCompile avec YARA-X (avertissements)

Auteur: Matt Suiche (Magnet Forensics)
Date: 2023-05-10
Modifiée: 2025-03-21
Score / Qualité: 70 / 71

Ce que détecte cette règle

Hunting Russian Intelligence Snake Malware

Famille de malware associée : Windows Malware Snake.

Elle définit 7 motifs (0 texte, 7 hex, 0 regex).

YARA-X indique : warning[text_as_hex]: hex pattern could be written as text literal

Résumé généré à partir des métadonnées et de la condition de la règle.

Source de la règle

Télécharger .yar

apt-mal-ru-win-snake-malware-may23-1.yarMIT License

rule SIGNATURE_BASE_APT_MAL_RU_WIN_Snake_Malware_May23_1 : MEMORY
{
	meta:
		description = "Hunting Russian Intelligence Snake Malware"
		author = "Matt Suiche (Magnet Forensics)"
		id = "53d2de3c-350c-5090-84bb-b6cde16a80ad"
		date = "2023-05-10"
		modified = "2025-03-21"
		reference = "https://media.defense.gov/2023/May/09/2003218554/-1/-1/0/JOINT_CSA_HUNTING_RU_INTEL_SNAKE_MALWARE_20230509.PDF"
		source_url = "https://github.com/Neo23x0/signature-base/blob/94a1c48d7ab499879287ff611dfe7f9c56376030/yara/apt_mal_ru_snake_may23.yar#L17-L42"
		license_url = "https://github.com/Neo23x0/signature-base/blob/94a1c48d7ab499879287ff611dfe7f9c56376030/LICENSE"
		logic_hash = "7cff7152259bb17a9b72b91f0fbef220aad2f35a1d2758d7225316a9896bf845"
		score = 70
		quality = 71
		tags = "MEMORY"
		threat_name = "Windows.Malware.Snake"
		scan_context = "memory"
		license = "MIT"

	strings:
		$a = { 25 73 23 31 }
		$b = { 25 73 23 32 }
		$c = { 25 73 23 33 }
		$d = { 25 73 23 34 }
		$e = { 2e 74 6d 70 }
		$g = { 2e 73 61 76 }
		$h = { 2e 75 70 64 }

	condition:
		all of them
}

Chaînes (7 motifs)

Identifiant	Type	Valeur
$a	hex	{ 25 73 23 31 }
$b	hex	{ 25 73 23 32 }
$c	hex	{ 25 73 23 33 }
$d	hex	{ 25 73 23 34 }
$e	hex	{ 2e 74 6d 70 }
$g	hex	{ 2e 73 61 76 }
$h	hex	{ 2e 75 70 64 }

Condition

all of them

En clair (Heuristique)

Tous les motifs de la règle doivent être trouvés.

Tester cette règle dans votre navigateur

Déposez un fichier pour le scanner avec cette règle grâce à YARA-X compilé en WebAssembly. Rien n’est envoyé.

Déposez un fichier ici ou cliquez pour choisirScanné localement avec YARA-X. Fichiers jusqu’à 200 Mo.

Ouvrir dans l’éditeur

Références

https://media.defense.gov/2023/May/09/2003218554/-1/-1/0/JOINT_CSA_HUNTING_RU_INTEL_SNAKE_MALWARE_20230509.PDF

Licence et attribution

Auteur : Matt Suiche (Magnet Forensics)

Dépôt source : Signature Base (Florian Roth / Nextron) @ 94a1c48d7a

Licence : MIT License (indiquée dans les métadonnées de la règle)

“MIT”

Règle d’origine

Reprise via YARA Forge 20260927, qui préfixe les noms de règles par la source et ajoute des champs meta normalisés.

Identifiant de règle: 53d2de3c-350c-5090-84bb-b6cde16a80ad

Métadonnées

threat_name	Windows.Malware.Snake
scan_context	memory

Tags:MEMORY