yara-rules

Коллекция правил YARA от ребят из InQuest, которой мы хотим поделиться со всем миром. Эти правила не следует считать пригодными для производственного использования. Скорее, они ценны для исследовательских целей и целей охоты за угрозами.

См. также:

• https://github.com/InQuest/yara-rules-vt 📖
• https://github.com/InQuest/awesome-yara 🏆🥇
• https://labs.inquest.net 🥼🔬🧪
• http://yaramate.com 😆

Правила перечислены здесь в алфавитном порядке вместе со ссылками для дальнейшего чтения:

• Powershell в кодировке Base64
  • YARA
  • Блог
  • Образцы
• CVE-2018-4878: уязвимость use-after-free в DRM Adobe Flash MediaPlayer
  • CVE_2018_4878_0day_ITW
  • Microsoft_Office_Document_with_Embedded_Flash_File
  • Adobe_Flash_DRM_Use_After_Free
  • Блог: уязвимость use-after-free в DRM Adobe Flash MediaPlayer
  • Следите за основными моментами обсуждения в Twitter в этом «моменте», который мы ведём.
• Встроенные PE-файлы
  • Обнаруживает встроенные PE-файлы, не полагаясь на легко удаляемые или изменяемые строки заголовков.
• Исполняемые файлы, преобразованные в MSI
  • Блог: «Carving Sneaky XLM Files»
  • www.exetomsi.com
• Powershell-пивот в шестнадцатеричной кодировке
  • Образец
  • Связанные образцы
  • Генератор регулярных выражений для смешанного регистра Hex
• Собственный формат исполняемых файлов Windows Hidden Bee
  • Блог Malwarebytes
  • Образцы вредоносного ПО
• Охота на подозрительные IQY-файлы
  • IQY_File
  • IQY_File_With_Suspicious_URL
  • IQY_File_With_Pivot_Extension_URL.rule
• labs.inquest.net
  • Правила поиска VirusTotal Intelligence, которые питают портал данных InQuest Labs.
• Скрытые листы макросов Microsoft Excel
  • Блог: «Carving Sneaky XLM Files»
• Подключение к данным Microsoft Excel
  • Блог: «Getting Sneakier: Hidden Sheets, Data Connections, and XLM Macros»
• Microsoft_Office_DDE_Command_Execution
  • Блоги: Обзор, охота и меры противодействия, Целевая приманка Freddie Mac, Маскирующая приманка SEC OMB, Шифровальщик Vortex, нацеленный на Польшу.
  • Следите за основными моментами обсуждения в Twitter в этом «моменте», который мы ведём.
• Microsoft XLSX с Macrosheet
  • Блог: «Эволюция Macrosheet в Zloader 4.0»
  • Образцы на GitHub и извлечённые Macrosheet
  • Образцы InQuest Labs по совпадению с эвристикой
• MSIExec Pivot
  • Блог: «Извлечение скрытных XLM-файлов»
  • Справка: Custom Action Type 19
• NTLM_Credentials_Theft_via_PDF
  • Эта сигнатура обнаруживает файлы Adobe PDF, которые ссылаются на удалённый объект UNC с целью утечки NTLM-хэшей. Время от времени обнаруживаются новые методы утечки NTLM-хэшей. Данный конкретный метод срабатывает при открытии вредоносного специально сформированного PDF. Оригинальное описание от CheckPoint.
• RTF_Byte_Nibble_Obfuscation
  • Эта сигнатура предназначена для обнаружения метода обфускации, описанного Борисом Лариным здесь: Disappearing bytes: Reverse engineering the MS Office RTF parser. Этот метод обфускации встречается редко, но использовался при распространении 0day-уязвимости CVE-2018-8174, обнаруженной в дикой природе.
  • Мы продолжим отмечать интересные детали по этой теме в этом Twitter Moment.
• Подозрительные файлы символических ссылок, содержащие макросы Excel 4.0 или Характеристики файлов
  • Эти сигнатуры обнаруживают файлы символических ссылок (SLK), содержащие макросы Excel 4.0, описанные здесь Стэном Хегтом.
• CVE-2020-0601 («Chain of Fools» или «Curveball»)
  • Эта сигнатура обнаруживает исполняемый файл Microsoft Windows, подписанный с использованием сертификатов эллиптической криптографии (ECC) с явно заданной кривой.
• GlowSpark
  • Эта сигнатура обнаруживает вторую стадию загрузчика Actinium, получившую название GlowSpark.