yara-rules

مجموعة من قواعد YARA من فريق InQuest نرغب في مشاركتها مع العالم. لا ينبغي اعتبار هذه القواعد مناسبة لبيئات الإنتاج. بل إنها قيّمة لأغراض البحث والتحري (hunting).

انظر أيضًا:

• https://github.com/InQuest/yara-rules-vt 📖
• https://github.com/InQuest/awesome-yara 🏆🥇
• https://labs.inquest.net 🥼🔬🧪
• http://yaramate.com 😆

القواعد مدرجة هنا، أبجديًا، مع مراجع لمزيد من القراءة:

• Base64 Encoded Powershell
  • YARA
  • مدونة
  • عينات
• CVE-2018-4878: ثغرة use-after-free في Adobe Flash MediaPlayer DRM
  • CVE_2018_4878_0day_ITW
  • Microsoft_Office_Document_with_Embedded_Flash_File
  • Adobe_Flash_DRM_Use_After_Free
  • مدونة: ثغرة use-after-free في Adobe Flash MediaPlayer DRM
  • تابع أبرز ما جاء في المحادثة على Twitter من خلال هذه "اللحظة" التي نوثّقها.
• ملفات PE المضمّنة
  • اكتشف ملفات PE المضمّنة دون الاعتماد على سلاسل الترويسة التي يسهل إزالتها أو تعديلها.
• ملفات تنفيذية محوّلة إلى MSI
  • مدونة: "Carving Sneaky XLM Files"
  • www.exetomsi.com
• Powershell Pivot بترميز Hex
  • عينة
  • عينات ذات صلة
  • مولّد Regex للحالات المختلطة من Hex
• تنسيق Windows Executable المخصص لـ Hidden Bee
  • مدونة Malwarebytes
  • عينات برمجيات خبيثة
• البحث عن ملفات IQY المشبوهة
  • IQY_File
  • IQY_File_With_Suspicious_URL
  • IQY_File_With_Pivot_Extension_URL.rule
• labs.inquest.net
  • قواعد بحث VirusTotal Intelligence التي تغذّي بوابة بيانات InQuest Labs.
• أوراق الماكرو المخفية في Microsoft Excel
  • مدونة: "Carving Sneaky XLM Files"
• اتصال البيانات في Microsoft Excel
  • مدونة: "Getting Sneakier: Hidden Sheets, Data Connections, and XLM Macros"
• Microsoft_Office_DDE_Command_Execution
  • المدونات: نظرة عامة، والبحث، والتخفيف، طُعم Freddie Mac المستهدف، طُعم SEC OMB المتنكر، برنامج الفدية Vortex يستهدف بولندا.
  • تابع أبرز ما جاء في المحادثة على Twitter من خلال هذه "اللحظة" التي نحتفظ بها.
• Microsoft XLSX with Macrosheet
  • مدونة: "Zloader 4.0 Macrosheet Evolution"
  • عينات مستضافة على Github واستخلاصات Macrosheet
  • عينات InQuest Labs حسب المطابقة الاستكشافية
• MSIExec Pivot
  • مدونة: "Carving Sneaky XLM Files"
  • مرجع: Custom Action Type 19
• NTLM_Credentials_Theft_via_PDF
  • يكتشف هذا التوقيع ملفات Adobe PDF التي تشير إلى كائن UNC بعيد بغرض تسريب تجزئات NTLM. تُكتشف طرق جديدة لتسريب تجزئات NTLM من وقت لآخر. هذه الطريقة تحديدًا تُفعَّل عند فتح ملف PDF خبيث مُصمَّم. المقال الأصلي من CheckPoint.
• RTF_Byte_Nibble_Obfuscation
  • صُمِّم هذا التوقيع لاكتشاف طريقة التمويه التي وصفها Boris Larin هنا Disappearing bytes: Reverse engineering the MS Office RTF parser. نادرًا ما تُرى طريقة التمويه هذه، لكنها استُخدمت في توزيع ثغرة CVE-2018-8174 من نوع 0day التي اكتُشفت في البرية.
  • سنواصل تخصيص المعلومات المثيرة للاهتمام حول هذا الموضوع في هذه لحظة Twitter.
• ملفات الروابط الرمزية المشبوهة التي تحتوي على وحدات ماكرو Excel 4.0 أو خصائص الملف
  • تكتشف هذه التوقيعات ملفات الروابط الرمزية (SLK) التي تحتوي على وحدات ماكرو Excel 4.0 الموصوفة هنا من قبل Stan Hegt.
• CVE-2020-0601 ("Chain of Fools" أو "Curveball")
  • يكتشف هذا التوقيع ملفًا تنفيذيًا من Microsoft Windows وُقِّع باستخدام شهادات التشفير الإهليلجي (ECC) بمنحنى صريح.
• GlowSpark
  • يكتشف هذا التوقيع مُحمِّل Actinium من المرحلة الثانية المسمى GlowSpark.