DefenderYara/Worm/Win32/Vobfus/Worm_Win32_Vobfus_AW.yar

rule Worm_Win32_Vobfus_AW{
	meta:
		description = "Worm:Win32/Vobfus.AW,SIGNATURE_TYPE_PEHSTR_EXT,03 00 03 00 04 00 00 "
		
	strings :
		$a_01_0 = {ee 14 02 00 00 00 00 00 c0 00 00 00 00 00 00 46 } //1
		$a_03_1 = {f3 e7 03 2b ?? ?? f4 01 2b ?? ?? 0b ?? 00 ?? ?? ?? ?? 23 ?? ?? 2a 23 ?? ?? 1b ?? 00 2a 23 ?? ?? 1b ?? 00 2a 23 ?? ?? 1b ?? 00 } //1
		$a_03_2 = {f5 28 00 00 00 0b ?? ?? ?? ?? 23 ?? ?? f5 5c 00 00 00 0b ?? ?? ?? ?? 23 ?? ?? 2a 23 ?? ?? 0b ?? ?? 00 00 23 ?? ?? 2a 23 ?? ?? 94 08 00 7c 00 2a } //1
		$a_03_3 = {07 08 00 04 00 52 [0-06] 1b ?? 00 1b ?? 00 2a 23 ?? ?? 1b ?? 00 2a fd ?? 08 ?? ?? ?? 2f } //1
	condition:
		((#a_01_0  & 1)*1+(#a_03_1  & 1)*1+(#a_03_2  & 1)*1+(#a_03_3  & 1)*1) >=3
 
}