YARA · Trellix Advanced Research Center

TRELLIX_ARC_Nionspy

Triggers on old and new variants of W32/NionSpy file infector

MalwareNionSpyTrellix Advanced Research CenterApache License 2.0Compile avec YARA-X

Auteur: Trellix ARC Team
Date: 2026-09-01
Modifiée: 2020-08-14
Score / Qualité: 75 / 70

Ce que détecte cette règle

Triggers on old and new variants of W32/NionSpy file infector

Famille de malware associée : NionSpy.

Cibles : PE Windows.

Elle définit 3 motifs (3 texte, 0 hex, 0 regex).

Résumé généré à partir des métadonnées et de la condition de la règle.

Source de la règle

Télécharger .yar

nionspy.yarApache License 2.0

rule TRELLIX_ARC_Nionspy : FILEINFECTOR FILE
{
	meta:
		description = "Triggers on old and new variants of W32/NionSpy file infector"
		author = "Trellix ARC Team"
		id = "86051ef8-a18b-553c-b06c-490f8d6df5cf"
		date = "2026-09-01"
		modified = "2020-08-14"
		reference = "https://blogs.mcafee.com/mcafee-labs/taking-a-close-look-at-data-stealing-nionspy-file-infector"
		source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/malware/MALW_NionSpy.yar#L1-L25"
		license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE"
		logic_hash = "982ba52f39352aee9e2d2dcadfb0816c439e92d0e5947afa7860630720913742"
		score = 75
		quality = 70
		tags = "FILEINFECTOR, FILE"
		malware_type = "fileinfector"
		malware_family = "FileInfector:W32/NionSpy"
		actor_type = "Cybercrime"
		actor_group = "Unknown"

	strings:
		$variant2015_infmarker = "aCfG92KXpcSo4Y94BnUrFmnNk27EhW6CqP5EnT"
		$variant2013_infmarker = "ad6af8bd5835d19cc7fdc4c62fdf02a1"
		$variant2013_string = "%s?cstorage=shell&comp=%s"

	condition:
		uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 and 1 of ( $variant* )
}

Chaînes (3 motifs)

Identifiant	Type	Valeur
$variant2015_infmarker	texte	"aCfG92KXpcSo4Y94BnUrFmnNk27EhW6CqP5EnT"
$variant2013_infmarker	texte	"ad6af8bd5835d19cc7fdc4c62fdf02a1"
$variant2013_string	texte	"%s?cstorage=shell&comp=%s"

Condition

uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 and 1 of ( $variant* )

En clair (Heuristique)

Le fichier doit commencer par « MZ » — un exécutable Windows (PE).
Au moins 1 motifs de ( $variant* ) doivent être trouvés.

Tester cette règle dans votre navigateur

Déposez un fichier pour le scanner avec cette règle grâce à YARA-X compilé en WebAssembly. Rien n’est envoyé.

Déposez un fichier ici ou cliquez pour choisirScanné localement avec YARA-X. Fichiers jusqu’à 200 Mo.

Ouvrir dans l’éditeur

Références

https://blogs.mcafee.com/mcafee-labs/taking-a-close-look-at-data-stealing-nionspy-file-infector

Licence et attribution

Auteur : Trellix ARC Team

Dépôt source : Trellix Advanced Research Center @ 1919562a59

Licence : Apache License 2.0 (licence du dépôt)

Règle d’origine

Reprise via YARA Forge 20260927, qui préfixe les noms de règles par la source et ajoute des champs meta normalisés.

Identifiant de règle: 86051ef8-a18b-553c-b06c-490f8d6df5cf

Métadonnées

malware_type	fileinfector
malware_family	FileInfector:W32/NionSpy
actor_type	Cybercrime
actor_group	Unknown

Tags:FILEINFECTOR FILE