yara-rules

来自 InQuest 团队的一套 YARA 规则集合，我们希望与世界分享。这些规则不应被视为适合生产环境使用。相反，它们对于研究和狩猎目的具有价值。

另请参阅：

• https://github.com/InQuest/yara-rules-vt 📖
• https://github.com/InQuest/awesome-yara 🏆🥇
• https://labs.inquest.net 🥼🔬🧪
• http://yaramate.com 😆

以下按字母顺序列出这些规则，并附上进一步阅读的参考资料：

• Base64 编码的 Powershell
  • YARA
  • 博客
  • 样本
• CVE-2018-4878：Adobe Flash MediaPlayer DRM 释放后使用漏洞
  • CVE_2018_4878_0day_ITW
  • Microsoft_Office_Document_with_Embedded_Flash_File
  • Adobe_Flash_DRM_Use_After_Free
  • 博客：Adobe Flash MediaPlayer DRM 释放后使用漏洞
  • 关注我们维护的这条“时刻”中 Twitter 对话的精彩内容。
• 嵌入的 PE 文件
  • 发现嵌入的 PE 文件，无需依赖容易被剥离/修改的头部字符串。
• 转换为 MSI 的可执行文件
  • 博客：“Carving Sneaky XLM Files”
  • www.exetomsi.com
• 十六进制编码的 Powershell 转向
  • 样本
  • 相关样本
  • 混合十六进制大小写正则表达式生成器
• Hidden Bee 自定义 Windows 可执行文件格式
  • Malwarebytes 博客
  • 恶意软件样本
• 狩猎可疑的 IQY 文件
  • IQY_File
  • IQY_File_With_Suspicious_URL
  • IQY_File_With_Pivot_Extension_URL.rule
• labs.inquest.net
  • 为 InQuest Labs 数据门户提供数据的 VirusTotal Intelligence 狩猎规则。
• Microsoft Excel 隐藏宏工作表
  • 博客：“Carving Sneaky XLM Files”
• Microsoft Excel 数据连接
  • 博客：“Getting Sneakier: Hidden Sheets, Data Connections, and XLM Macros”
• Microsoft_Office_DDE_Command_Execution
  • 博客：概述、狩猎与缓解、Freddie Mac 定向诱饵、SEC OMB 伪装诱饵、针对波兰的 Vortex 勒索软件。
  • 关注我们维护的这个“时刻”中 Twitter 对话的精彩内容。
• 带 Macrosheet 的 Microsoft XLSX
  • 博客：“Zloader 4.0 Macrosheet 演进”
  • GitHub 托管的样本与 Macrosheet 提取
  • InQuest Labs 按启发式匹配的样本
• MSIExec Pivot
  • 博客：“雕刻隐蔽的 XLM 文件”
  • 参考：自定义操作类型 19
• NTLM_Credentials_Theft_via_PDF
  • 此签名可检测引用远程 UNC 对象以泄露 NTLM 哈希的 Adobe PDF 文件。 NTLM 哈希泄露的新方法时有发现。这一特定方法在打开精心构造的恶意 PDF 时触发。原始分析文章来自 CheckPoint。
• RTF_Byte_Nibble_Obfuscation
  • 此签名旨在检测 Boris Larin 在此处描述的混淆方法：消失的字节：逆向工程 MS Office RTF 解析器。这种混淆方法很少见，但曾被用于在野发现的 CVE-2018-8174 0day 的分发。
  • 我们将继续在这个 Twitter Moment 中标记该主题相关的有趣细节。
• 包含 Excel 4.0 宏的可疑符号链接文件 或 文件特征
  • 这些签名可检测包含 Excel 4.0 宏的符号链接（SLK）文件，相关内容由 Stan Hegt 在此处描述。
• CVE-2020-0601（“Chain of Fools”或“Curveball”）
  • 此签名可检测使用带有显式曲线的椭圆曲线密码学（ECC）证书签名的 Microsoft Windows 可执行文件。
• GlowSpark
  • 此签名可检测被称为 GlowSpark 的第二阶段 Actinium 下载器。