YARA · Signature Base (Florian Roth / Nextron)

SIGNATURE_BASE_APT_UNC2447_MAL_RANSOM_Hellokitty_May21_2

Detects HelloKitty Ransomware samples from UNC2447 campaign

APT / acteurHelloKittySignature Base (Florian Roth / Nextron)Detection Rule License 1.1Compile avec YARA-X

Auteur: Florian Roth (Nextron Systems)
Date: 2021-05-01
Modifiée: 2023-12-05
Score / Qualité: 75 / 85

Ce que détecte cette règle

Detects HelloKitty Ransomware samples from UNC2447 campaign

Famille de malware associée : HelloKitty.

Cibles : PE Windows.

Elle définit 7 motifs (4 texte, 3 hex, 0 regex).

Résumé généré à partir des métadonnées et de la condition de la règle.

Source de la règle

Télécharger .yar

apt-unc2447-mal-ransom-hellokitty-may21-2.yarDetection Rule License 1.1

rule SIGNATURE_BASE_APT_UNC2447_MAL_RANSOM_Hellokitty_May21_2 : FILE
{
	meta:
		description = "Detects HelloKitty Ransomware samples from UNC2447 campaign"
		author = "Florian Roth (Nextron Systems)"
		id = "82aaabc6-102a-512e-8c2a-4d6fda864c68"
		date = "2021-05-01"
		modified = "2023-12-05"
		reference = "https://www.fireeye.com/blog/threat-research/2021/04/unc2447-sombrat-and-fivehands-ransomware-sophisticated-financial-threat.html"
		source_url = "https://github.com/Neo23x0/signature-base/blob/94a1c48d7ab499879287ff611dfe7f9c56376030/yara/apt_unc2447_sombrat.yar#L74-L99"
		license_url = "https://github.com/Neo23x0/signature-base/blob/94a1c48d7ab499879287ff611dfe7f9c56376030/LICENSE"
		hash = "10887d13dba1f83ef34e047455a04416d25a83079a7f3798ce3483e0526e3768"
		hash = "3ae7bedf236d4e53a33f3a3e1e80eae2d93e91b1988da2f7fcb8fde5dcc3a0e9"
		hash = "501487b025f25ddf1ca32deb57a2b4db43ccf6635c1edc74b9cff54ce0e5bcfe"
		hash = "9a7daafc56300bd94ceef23eac56a0735b63ec6b9a7a409fb5a9b63efe1aa0b0"
		logic_hash = "1eee3a00ab3f70425d2b6bf5dc507155bf504b851ddb6515602d83d8b6a254b8"
		score = 75
		quality = 85
		tags = "FILE"

	strings:
		$xop1 = { 50 8d 45 f8 50 ff 75 fc ff 15 ?? ?? 42 00 3d ea 00 00 00 75 18 83 7d f8 00 }
		$s1 = "HelloKittyMutex" wide
		$s2 = "%s\\read_me_lkd.txt" wide fullword
		$s3 = "/C ping 127.0.0.1 & del %s" wide fullword
		$s4 = "(%d) [%d] %s: STOP DOUBLE PROCESS RUN" ascii fullword
		$sop1 = { 6a 00 6a 01 ff 75 fc ff 15 ?? ?? 42 00 85 c0 0f 94 c3 ff 75 fc ff 15 ?? ?? 42 00 }
		$sop2 = { 74 12 6a 00 6a 01 ff 75 fc ff 15 ?? ?? 42 00 85 c0 0f 94 c3 ff 75 fc }

	condition:
		uint16( 0 ) == 0x5a4d and filesize < 600KB and 1 of ( $x* ) or 2 of them
}

Chaînes (7 motifs)

Identifiant	Type	Valeur	Modificateurs
$xop1	hex	{ 50 8d 45 f8 50 ff 75 fc ff 15 ?? ?? 42 00 3d ea 00 00 00 75 18 83 7d f8 00 }
$s1	texte	"HelloKittyMutex"	wide
$s2	texte	"%s\\read_me_lkd.txt"	wide fullword
$s3	texte	"/C ping 127.0.0.1 & del %s"	wide fullword
$s4	texte	"(%d) [%d] %s: STOP DOUBLE PROCESS RUN"	ascii fullword
$sop1	hex	{ 6a 00 6a 01 ff 75 fc ff 15 ?? ?? 42 00 85 c0 0f 94 c3 ff 75 fc ff 15 ?? ?? 42 00 }
$sop2	hex	{ 74 12 6a 00 6a 01 ff 75 fc ff 15 ?? ?? 42 00 85 c0 0f 94 c3 ff 75 fc }

Condition

uint16( 0 ) == 0x5a4d and filesize < 600KB and 1 of ( $x* ) or 2 of them

En clair (Heuristique)

Le fichier doit commencer par « MZ » — un exécutable Windows (PE).
Le fichier doit faire moins de 600KB (garde-fou peu coûteux qui écarte les gros fichiers).
Au moins 1 motifs de ( $x* ) doivent être trouvés.
Au moins 2 motifs de la règle doivent être trouvés.

Tester cette règle dans votre navigateur

Déposez un fichier pour le scanner avec cette règle grâce à YARA-X compilé en WebAssembly. Rien n’est envoyé.

Déposez un fichier ici ou cliquez pour choisirScanné localement avec YARA-X. Fichiers jusqu’à 200 Mo.

Ouvrir dans l’éditeur

Références

https://www.fireeye.com/blog/threat-research/2021/04/unc2447-sombrat-and-fivehands-ransomware-sophisticated-financial-threat.html

Hashes d’échantillons

Hashes des échantillons listés par l’auteur dans les métadonnées de la règle (à rechercher dans votre plateforme de threat intelligence).

10887d13dba1f83ef34e047455a04416d25a83079a7f3798ce3483e0526e3768
3ae7bedf236d4e53a33f3a3e1e80eae2d93e91b1988da2f7fcb8fde5dcc3a0e9
501487b025f25ddf1ca32deb57a2b4db43ccf6635c1edc74b9cff54ce0e5bcfe
9a7daafc56300bd94ceef23eac56a0735b63ec6b9a7a409fb5a9b63efe1aa0b0

Licence et attribution

Auteur : Florian Roth (Nextron Systems)

Dépôt source : Signature Base (Florian Roth / Nextron) @ 94a1c48d7a

Licence : Detection Rule License 1.1 (licence du dépôt)

Règle d’origine

Reprise via YARA Forge 20260927, qui préfixe les noms de règles par la source et ajoute des champs meta normalisés.

Identifiant de règle: 82aaabc6-102a-512e-8c2a-4d6fda864c68

Tags:FILE

SIGNATURE_BASE_APT_UNC2447_MAL_RANSOM_Hellokitty_May21_1
APT / acteurSignature Base (Florian Roth / Nextron)· Florian Roth (Nextron Systems)· 2021-05-01
MALPEDIA_Win_Hellokitty_Auto
MalwareMalpedia signator rules· Felix Bilstein - yara-signator at cocacoding dot com· 2026-05-04
DITEKSHEN_MALWARE_Linux_Hellokitty
MalwareditekSHen detection· ditekSHen· 2020-11-06
TRELLIX_ARC_Ransom_Linux_Hellokitty_0721
MalwareTrellix Advanced Research Center· Christiaan @ ATR· 2021-07-19
ARKBIRD_SOLG_RAN_ELF_Hellokitty_Aug_2021_1Métadonnées seules
MalwareArkbird SOLG (DailyIOC)· Arkbird_SOLG· 2021-08-14
SIGNATURE_BASE_APT_HKTL_Wiper_Whispergate_Jan22_2
APT / acteurSignature Base (Florian Roth / Nextron)· Florian Roth (Nextron Systems)· 2022-01-16
SIGNATURE_BASE_APT_HKTL_Wiper_Whispergate_Jan22_1
APT / acteurSignature Base (Florian Roth / Nextron)· Florian Roth (Nextron Systems)· 2022-01-16
SIGNATURE_BASE_APT_UA_Hermetic_Wiper_Scheduled_Task_Feb22_1
APT / acteurSignature Base (Florian Roth / Nextron)· Florian Roth (Nextron Systems)· 2022-02-25

Plus de règles HelloKitty