DefenderYara/TrojanDownloader/O97M/Obfuse/TrojanDownloader_O97M_Obfuse_SSMK_MTB.yar

rule TrojanDownloader_O97M_Obfuse_SSMK_MTB{
	meta:
		description = "TrojanDownloader:O97M/Obfuse.SSMK!MTB,SIGNATURE_TYPE_MACROHSTR_EXT,04 00 04 00 04 00 00 "
		
	strings :
		$a_01_0 = {2e 44 61 74 61 54 79 70 65 20 3d 20 6b 69 70 66 74 72 72 77 78 6e 79 70 6e 7a 66 28 22 36 32 36 39 36 65 32 65 36 38 22 29 20 26 20 6b 69 70 66 74 72 72 77 78 6e 79 70 6e 7a 66 28 22 36 35 37 38 22 29 } //1 .DataType = kipftrrwxnypnzf("62696e2e68") & kipftrrwxnypnzf("6578")
		$a_01_1 = {65 6e 74 72 79 5f 63 6c 61 73 73 20 3d 20 6b 69 70 66 74 72 72 77 78 6e 79 70 6e 7a 66 28 22 34 64 36 35 22 29 20 26 20 6b 69 70 66 74 72 72 77 78 6e 79 70 6e 7a 66 28 22 37 34 36 35 37 32 35 30 37 32 36 35 37 34 36 35 37 32 22 29 } //1 entry_class = kipftrrwxnypnzf("4d65") & kipftrrwxnypnzf("746572507265746572")
		$a_01_2 = {26 20 6b 69 70 66 74 72 72 77 78 6e 79 70 6e 7a 66 28 22 36 64 36 31 37 34 37 34 36 35 37 32 22 29 29 } //1 & kipftrrwxnypnzf("6d6174746572"))
		$a_03_3 = {2e 44 61 74 61 54 79 70 65 20 3d 20 90 02 25 28 22 36 32 36 39 36 65 32 65 36 38 22 29 20 26 20 90 02 25 28 22 36 35 37 38 22 29 90 00 } //1
	condition:
		((#a_01_0  & 1)*1+(#a_01_1  & 1)*1+(#a_01_2  & 1)*1+(#a_03_3  & 1)*1) >=4
 
}