【建瓯最坏】APT的YARA规则

最新推荐文章于 2024-09-24 09:19:09 发布
最新推荐文章于 2024-09-24 09:19:09 发布
阅读量533 收藏
点赞数
分类专栏： APT 文章标签： YARA APT 逆向 病毒
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.youkuaiyun.com/JiangBuLiu/article/details/113703731
版权

分类

地区

亚洲

中东

StrongPity

初始载荷
Exfiltrate模块（全版本）
import "pe"

rule APT_StrongPity_Exfiltrate
{
   
	meta:
		author = "建瓯最坏"
		description = "写于2020-12-25，StrongPity，Exfiltrate模块，联网插件"
		V16 = "90B4DF284BD28909047D179F7A0A3391"
		V20 = "C5CBD6A7DE703AB24C7AAE8D3B0B
最低0.47元/天 解锁文章
从StrongPity一联网组件到APT的溯源与追踪-上-样本分析与YARA规则
JiangBuLiu的博客
12-03 454
联网样本分析与初始载荷公开情报中的StrongPity联网组件样本特征及检测规则YARA规则思路特殊字符串字符串分离赋值代码特殊函数基于PE结构寻找同源基于组件找初始载荷 公开情报中的StrongPity联网组件 2020年5月23日，推特用户发布了一条推文，公开一个StrongPity的样本信息： 分析后发现这是一个很明显的多组件攻击链中的联网组件，且该组织的披露信息较少，产生了好奇心，于是对其进行分析和历史样本查找。 样本特征及检测规则 具体行为总结如下： 拼接字符串，解密部分拼接的字符串； 创建“
建瓯最坏的YARA - APT | 病毒检测 | 常用模块和字段
JiangBuLiu的博客
01-26 1077
建瓯最坏的APT规则的YARA常用字段YARA规则PE模块文件类型判断 YARA规则 PE模块 文件类型判断 Dll文件：pe.is_dll() 32位：pe.is_32bit() 64位：pe.is_64bit() 文件大小：filesize < 100KB 文件区间：（如66KB） 33KB < filesize < 99KB，会报错，YARA官方文档没有搜到区间怎么写，加了括号(33KB < filesize < 99KB)也不行 最后写成这样可以：(33KB <
yara-signator:自动为Malpedia生成YARA规则
05-13
YARA签名人 自动为恶意软件存储库生成YARA规则。 当前用于为Malpedia（ ）构建YARA签名，并且仅限于Linux，macOS和Windows的x86 / x86-64可执行文件和内存转储。 目标听众 该软件对于公司或CERT等大型组织以及个人而言非常有用。 它只需要一台现代化的个人计算机（建议使用8个内核/线程和16个GiB）和一个精选的恶意软件存储库。 在这种情况下，“策展”意味着所有样本均已排序并聚类到族。 每个家庭可以包含各种样本。 通常，该工具更适合解压缩的恶意软件，因为我们尝试检测可识别给定系列的特殊代码区域或功能。 前提条件 您有一个精选的恶意软件存储库，格式如下： ./malware-repo/<malware>/<sample> 您可以使用smda（ ）生成反汇编报告，并将其存储为YARA-Signat
列表扫描命令_Spyre：一款基于YARA规则的入侵威胁指标IoC扫描工具
weixin_39925413的博客
01-14 409
SpyreSpyre是一款功能强大的基于主机的IoC扫描工具，该工具基于YARA模式匹配引擎和其他扫描模块构建。其主要功能是简化YARA规则的操作，并帮助广大研究人员更好地实现入侵威胁指标IoC的扫描。在使用Spyre时，我们需要提供自己的YARA规则集，关于YARA规则，广大研究人员可以参考awesome-yara库所提供的免费YARA规则集。广大研究人员可以将Spyre当作一款事件响...
yara规则书写规范
01-04
当前最新yara规则书写规范，官方文档翻译过来的，不包括后面支持的模块翻译。大家有兴趣可以下载下来看。
rules:yara规则存储库
04-28
该项目满足了一组IT安全研究人员的需要，即拥有一个单一的存储库，在其中可以编译，分类和保持不同的Yara签名，并尽可能保持最新状态，并开始成为收集Yara规则的开源社区。 我们的Yara规则集受GNU-GPLv2许可，并且对...
验证yara规则并尝试修复损坏的规则_Python_下载.zip
04-28
本压缩包"验证yara规则并尝试修复损坏的规则_Python_下载.zip"显然包含了一个Python项目，用于验证Yara规则的有效性，并可能帮助用户修复损坏或无效的规则。 首先，Yara规则的基本结构包括以下几个部分： 1. 规则...
clamav-yara:将Clamav病毒数据库定义转换为YARA规则[GOLANG]
05-09
将ClamAV定义转换为Yara规则 === Clamav To Yara具有以下特点： 定期从clamav下载定义：目前在main.go中进行硬编码为4个小时 通过Etag检查定义是否已更改 保留：检查定义文件的哈希是否有效。 通过使用freshclam在...
base64_substring:生成Yara规则以查找包含特定关键字的base64编码文件
05-01
关于 通常，恶意软件分析人员需要使用诸如Application.Run之类的搜索词搜索base64编码的样本。 base64_substring可以通过枚举给定搜索词的所有可能的base64编码并生成检查这些可能性的yara规则来帮助他们。 怎么跑 示例：生成与包含Application术语的base64编码文件匹配的yara规则。 > python generate_yara_rule.py > Please enter a rule name MyRule > Please enter a text Application 进一步阅读
Yara、Snort和Sigma规则
摔不死的笨鸟的博客
03-11 6690
Yara规则是基于二进制文件的静态HEX数据内容实现的扫描规则。简单点说，就是基于原始文件的内容数据扫描规则。 Snort规则是基于IDS入侵检测系统，主要针对流量中数据包内容编写的扫描规则。 SIGMA是一种通用的开放签名格式，允许以简单的方式描述SIEM系统中的相关日志事件。 Yara规则 很多人对yara规则是比较熟悉的。 yara规则根据用途可以分为hunting yara规则和查杀yara规则两种。 hunting作用的yara规则编写相对来说比较简单。除了命中目的样本外，还允许命中更多无关的黑样
静态扫描之Yara第一话--安装及使用Yara
安全杂货铺
01-09 1万+
Yara安装及使用 概述 Yara是一款用于识别恶意软件及对其行为进行分类的安全利器。Yara会根据我们自己编写的yara规则，来对可疑软件进行一个模式匹配，若可疑软件中的一些特征与我们的yara规则匹配上了，则可以初步认定可疑软件为恶意软件。 项目地址：https://github.com/VirusTotal/yara 下载及安装 Linux： apt
YARA-Signator 自动化YARA规则生成教程
gitblog_00344的博客
09-09 651
YARA-Signator 自动化YARA规则生成教程 yara-signatorAutomatic YARA rule generation for Malpedia项目地址:https://gitcode.com/gh_mirrors/ya/yara-signator 项目介绍 YARA-Signator 是一个开源工具，专为自动化Malpedia样本的YARA规则生成设计。此项目基于Apa...
探索YaraML：自动化生成Yara规则的机器学习工具
最新发布
gitblog_00004的博客
09-24 478
探索YaraML：自动化生成Yara规则的机器学习工具 项目地址:https://gitcode.com/gh_mirrors/ya/yaraml_rules 项目介绍 YaraML 是一个由Sophos AI团队开发的开源工具，旨在通过机器学习技术自动生成Yara规则。YaraML能够将scikit-learn中的逻辑回归和随机森林二分类器转换为Yara语言，从而实现从恶意软件和良性文件中提取特...
自动化生成yara规则工具--yarGen
weixin_47576228的博客
09-01 2087
本篇将简述yarGen的下载和简单的使用方法
恶意软件 识别工具 yara 安装使用
whatday的专栏
07-31 2760
目录 概述 下载及安装 问题解决 测试 获取yara规则 获取恶意样本 开始扫描 概述 Yara是一款用于识别恶意软件及对其行为进行分类的安全利器。Yara会根据我们自己编写的yara规则，来对可疑软件进行一个模式匹配，若可疑软件中的一些特征与我们的yara规则匹配上了，则可以初步认定可疑软件为恶意软件。 项目地址：https://github.com/VirusTotal/yara 下载及安装 Linux： apt-get install yara apt-get instal
Yara规则概述
热门推荐
Re:Creator的博客
04-12 2万+
一、Yara概述YARA是一款旨在帮助恶意软件研究人员识别和分类恶意软件样本的开源工具（由virustotal的软件工程师Victor M. Alvarezk开发），使用YARA可以基于文本或二进制模式创建恶意软件家族描述信息，当然也可以是其他匹配信息。YARA的每一条描述或规则都由一系列字符串和一个布尔型表达式构成，并阐述其逻辑。YARA规则可以提交给文件或在运行进程，以帮助研究人员识别其是否属...
Yara规则以及yargen工具总结
qq_36944048的博客
09-15 2764
Yara规则以及yargen工具总结 任务目标 yara规则； 使用yargen对webshell生成yara规则; 使用yara对目标文件进行扫描。 任务一：yara规则 yara规则： 首先我从yara规则的结构出发，yara规则分为两部分：字符串定义和条件表达式部分； 简单的实例： Rule guize1[m1] { String：[m2] $a_text=”text here” nocase ...
Yara规则编写
lisasue的博客
09-07 8703
yara规则编写 YARA规则的标识符类似于C语言结构，其规则声明以rule标识，在规则描述中可以包括字母、数字甚至下划线字符，但字符串第一个字符不能是数字，且单条描述不能超过128个字符。 Yara关键字 YARA规则由字符串区域和条件区域两部分组成，其中条件区域必须存在，字符串区域则可有可无，比如不依赖任何字符串的规则： rule Dummy ｛ condition:
静态扫描之Yara第四话--编写yara规则（3）
安全杂货铺
01-09 1619
编写简单高效的yara规则（3） 翻译自：https://www.bsk-consulting.de/2016/04/15/how-to-write-simple-but-sound-yara-rules-part-3/ 距离我写How to Write Simple but Sound Yara Rules – Part2 已经有一段时间了。从那之后，我改进了我的规则创建方法，新方法生成
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值