Aller au contenu
yararules.org
Menu

YARA · Trellix Advanced Research Center

TRELLIX_ARC_Netwalker_Signed

Rule to detect Netwalker ransomware digitally signed.

MalwareTrellix Advanced Research CenterApache License 2.0Compile avec YARA-X (avertissements)
Auteur
Marc Rivero | McAfee ATR Team
Date
2020-03-30
Modifiée
2020-11-20
Score / Qualité
75 / 70

Ce que détecte cette règle

Rule to detect Netwalker ransomware digitally signed.

Cibles : PE Windows.

Elle n’a aucun motif : la condition seule décide (modules, propriétés du fichier ou autres règles). Modules YARA utilisés : pe.

YARA-X indique : warning[deprecated_field]: field `number_of_signatures` is deprecated

Résumé généré à partir des métadonnées et de la condition de la règle.

Source de la règle

Télécharger .yar

Inclut les imports nécessaires pour la compiler seule.

netwalker-signed.yarApache License 2.0
import "pe"

rule TRELLIX_ARC_Netwalker_Signed : FILE
{
	meta:
		description = "Rule to detect Netwalker ransomware digitally signed."
		author = "Marc Rivero | McAfee ATR Team"
		id = "6806b917-2e02-57e3-887a-b4c12db83653"
		date = "2020-03-30"
		modified = "2020-11-20"
		reference = "https://www.ccn-cert.cni.es/comunicacion-eventos/comunicados-ccn-cert/9802-publicado-un-informe-de-codigo-danino-sobre-netwalker.html"
		source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/ransomware/RANSOM_netwalker.yar#L30-L47"
		license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE"
		logic_hash = "d78ed22771d7c93516375afb8fd2fd7baa40a357ec3c247939a10d11f80ae226"
		score = 75
		quality = 70
		tags = "FILE"
		note = "The rule will hit also some Dridex samples digitally signed"

	condition:
		uint16( 0 ) == 0x5a4d and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "/CN=EWBTCAXQKUMDTHCXCZ" and pe.signatures [ i ] . serial == "17:16:bb:93:fb:a9:a2:41:ba:a8:2e:c7:5e:ff:0c" or pe.signatures [ i ] . thumbprint == "a4:28:e9:4a:61:3a:1f:cf:ff:08:bf:e7:61:51:64:31:1a:6f:87:bc" )
}

Condition

uint16( 0 ) == 0x5a4d and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "/CN=EWBTCAXQKUMDTHCXCZ" and pe.signatures [ i ] . serial == "17:16:bb:93:fb:a9:a2:41:ba:a8:2e:c7:5e:ff:0c" or pe.signatures [ i ] . thumbprint == "a4:28:e9:4a:61:3a:1f:cf:ff:08:bf:e7:61:51:64:31:1a:6f:87:bc" )

En clair (Heuristique)

  • Le fichier doit commencer par « MZ » — un exécutable Windows (PE).
  • Une boucle for vérifie une propriété sur plusieurs occurrences ou éléments.
  • Utilise le module pe.
  • Vérifie la signature Authenticode.

Tester cette règle dans votre navigateur

Déposez un fichier pour le scanner avec cette règle grâce à YARA-X compilé en WebAssembly. Rien n’est envoyé.

Déposez un fichier ici ou cliquez pour choisirScanné localement avec YARA-X. Fichiers jusqu’à 200 Mo.

Ouvrir dans l’éditeur

Références

Licence et attribution

Auteur : Marc Rivero | McAfee ATR Team

Dépôt source : Trellix Advanced Research Center @ 1919562a59

Licence : Apache License 2.0 (licence du dépôt)

Règle d’origine

Reprise via YARA Forge 20260927, qui préfixe les noms de règles par la source et ajoute des champs meta normalisés.

Identifiant de règle: 6806b917-2e02-57e3-887a-b4c12db83653

Métadonnées

noteThe rule will hit also some Dridex samples digitally signed

Tags:FILE

Règles liées