yara-rules

InQuest के लोगों की ओर से YARA नियमों का एक संग्रह, जिसे हम दुनिया के साथ साझा करना चाहते हैं। इन नियमों को उत्पादन के लिए उपयुक्त नहीं माना जाना चाहिए। बल्कि, ये अनुसंधान और हंटिंग उद्देश्यों के लिए मूल्यवान हैं।

यह भी देखें:

• https://github.com/InQuest/yara-rules-vt 📖
• https://github.com/InQuest/awesome-yara 🏆🥇
• https://labs.inquest.net 🥼🔬🧪
• http://yaramate.com 😆

नियम यहाँ वर्णानुक्रम में सूचीबद्ध हैं, साथ ही आगे पढ़ने के लिए संदर्भ भी दिए गए हैं:

• Base64 एन्कोडेड Powershell
  • YARA
  • ब्लॉग
  • नमूने
• CVE-2018-4878: Adobe Flash MediaPlayer DRM user-after-free Vulnerability
  • CVE_2018_4878_0day_ITW
  • Microsoft_Office_Document_with_Embedded_Flash_File
  • Adobe_Flash_DRM_Use_After_Free
  • ब्लॉग: Adobe Flash MediaPlayer DRM Use-after-free Vulnerability
  • Twitter पर बातचीत की मुख्य बातों को हमारे द्वारा संचालित इस "moment" पर फ़ॉलो करें।
• एम्बेडेड PE फ़ाइलें
  • आसानी से हटाए/संशोधित किए जा सकने वाले हेडर स्ट्रिंग्स पर निर्भर किए बिना एम्बेडेड PE फ़ाइलों का पता लगाएं।
• MSI में परिवर्तित निष्पादन योग्य फ़ाइलें
  • ब्लॉग: "Carving Sneaky XLM Files"
  • www.exetomsi.com
• Hex एन्कोडेड Powershell Pivot
  • नमूना
  • संबंधित नमूने
  • मिश्रित Hex केस Regex जनरेटर
• Hidden Bee कस्टम Windows निष्पादन योग्य प्रारूप
  • Malwarebytes ब्लॉग
  • मैलवेयर नमूने
• संदिग्ध IQY फ़ाइलों की खोज
  • IQY_File
  • IQY_File_With_Suspicious_URL
  • IQY_File_With_Pivot_Extension_URL.rule
• labs.inquest.net
  • VirusTotal Intelligence हंट नियम जो InQuest Labs डेटा पोर्टल को फ़ीड करते हैं।
• Microsoft Excel छिपी मैक्रो शीट्स
  • ब्लॉग: "Carving Sneaky XLM Files"
• Microsoft Excel डेटा कनेक्शन
  • ब्लॉग: "Getting Sneakier: Hidden Sheets, Data Connections, and XLM Macros"
• Microsoft_Office_DDE_Command_Execution
  • ब्लॉग: अवलोकन, शिकार, और शमन, Freddie Mac लक्षित लालच, SEC OMB प्रच्छन्न लालच, पोलैंड को लक्षित Vortex रैनसमवेयर।
  • इस "मोमेंट" से Twitter पर बातचीत की मुख्य बातों को फॉलो करें जिसे हम बनाए रखते हैं।
• Macrosheet के साथ Microsoft XLSX
  • ब्लॉग: "Zloader 4.0 Macrosheet विकास"
  • Github होस्टेड नमूने और Macrosheet निष्कर्षण
  • Heuristic मिलान द्वारा InQuest Labs नमूने
• MSIExec Pivot
  • ब्लॉग: "चालाक XLM फ़ाइलों को निकालना"
  • संदर्भ: कस्टम एक्शन प्रकार 19
• NTLM_Credentials_Theft_via_PDF
  • यह सिग्नेचर उन Adobe PDF फ़ाइलों का पता लगाता है जो NTLM हैश लीक करने के उद्देश्य से किसी रिमोट UNC ऑब्जेक्ट का संदर्भ देती हैं। NTLM हैश लीक के नए तरीके समय-समय पर खोजे जाते हैं। यह विशेष तरीका एक दुर्भावनापूर्ण रूप से तैयार की गई PDF खोलने पर ट्रिगर होता है। मूल लेख CheckPoint से।
• RTF_Byte_Nibble_Obfuscation
  • यह सिग्नेचर Boris Larin द्वारा यहाँ वर्णित ऑब्फस्केशन विधि का पता लगाने के लिए डिज़ाइन किया गया है गायब होते बाइट्स: MS Office RTF पार्सर का रिवर्स इंजीनियरिंग। यह ऑब्फस्केशन विधि शायद ही कभी देखी जाती है, लेकिन इसका उपयोग जंगल में खोजे गए CVE-2018-8174 0day के वितरण में किया गया था।
  • हम इस विषय से जुड़ी दिलचस्प जानकारियों को इस Twitter Moment में चिह्नित करना जारी रखेंगे।
• Excel 4.0 मैक्रोज़ वाली संदिग्ध सिम्बॉलिक लिंक फ़ाइलें या फ़ाइल विशेषताएँ
  • ये सिग्नेचर उन सिम्बॉलिक लिंक (SLK) फ़ाइलों का पता लगाते हैं जिनमें Excel 4.0 मैक्रोज़ होते हैं, जिनका वर्णन Stan Hegt द्वारा यहाँ किया गया है।
• CVE-2020-0601 ("Chain of Fools" या "Curveball")
  • यह सिग्नेचर उस Microsoft Windows एक्ज़ीक्यूटेबल का पता लगाता है जिसे स्पष्ट कर्व वाले Elliptic Curve Cryptography (ECC) प्रमाणपत्रों का उपयोग करके साइन किया गया है।
• GlowSpark
  • यह सिग्नेचर दूसरे चरण के Actinium डाउनलोडर का पता लगाता है जिसे GlowSpark कहा जाता है।