检测规则

本仓库存放由 delivr.to 团队开发的检测内容。

本仓库中的所有规则都有对应的载荷（在引用中链接并在下方展示），可用于测试检测内容。

本仓库目前包含以下类型的检测：

• Sublime 规则
• Yara 规则
• Sigma 规则

Sublime 规则

以下是用于 Sublime Security 的规则列表，分为 通用 和 威胁情报 专用文件夹。

你也可以直接将 delivr.to 与 Sublime 集成，相关说明见 此处，文档见 此处。

规则名称	类型	载荷
附件：包含目录遍历漏洞 CVE-2025-6218 的压缩包（未经请求）	威胁情报
附件：嵌套 7-Zip 压缩包 CVE-2025-0411（未经请求）	威胁情报
附件：包含嵌入 OLE 对象的 RTF（未经请求）	威胁情报
正文：利用 CVE-2024-38021 的 Img 元素（未经请求）	威胁情报
链接：来自可疑来源的 PIF 文件（AgentTesla）	威胁情报
附件：包含 search-ms URI 协议处理程序的 HTML（DarkGate）	威胁情报
附件：包含 Meta 标签刷新和文件协议处理程序的 HTML（Pikabot）	威胁情报
附件：带有 Microsoft OneDrive 品牌标识的 PDF 链接（Pikabot）	威胁情报
附件：包含最小化单行命令 LNK 的 ZIP（未经请求）	威胁情报
附件：带规避指示器的 Zip 文件 HTML 走私（未经请求）	威胁情报
附件：使用 ActiveMime 对象嵌入 MHT 的 PDF（未经请求）	威胁情报
附件：利用 CVE-2023-38831 的 Zip（未经请求）	威胁情报
附件：包含自动打开嵌入式走私文件的 PDF	威胁情报
附件：包含可疑字符串的 OneNote 文件	威胁情报
链接：带有文档下载诱饵的压缩 OneNote 文件（QakBot）	威胁情报
附件：包含含 VBScript 和 JavaScript 内容的 HTA 的 OneNote（QakBot）	威胁情报
附件：包含证书内容的 WSF 文件（QakBot）	威胁情报
附件：带有文档下载诱饵的 PDF	威胁情报