26 lines
8.4 KiB
Plaintext
26 lines
8.4 KiB
Plaintext
|
|
rule TrojanDownloader_O97M_Emotet_RVJ_MTB{
|
|
meta:
|
|
description = "TrojanDownloader:O97M/Emotet.RVJ!MTB,SIGNATURE_TYPE_MACROHSTR_EXT,01 00 01 00 10 00 00 "
|
|
|
|
strings :
|
|
$a_01_0 = {68 22 26 22 74 74 22 26 22 70 22 26 22 73 3a 2f 22 26 22 2f 68 65 22 26 22 69 6a 22 26 22 74 73 22 26 22 65 2e 63 22 26 22 6f 22 26 22 6d 2f 77 22 26 22 70 2d 63 22 26 22 6f 6e 22 26 22 74 65 22 26 22 6e 74 2f 76 22 26 22 49 62 22 26 22 6f 22 26 22 69 45 22 26 22 5a 50 22 26 22 62 71 22 26 22 76 54 22 26 22 46 31 22 26 22 30 5a 22 26 22 39 2f } //1 h"&"tt"&"p"&"s:/"&"/he"&"ij"&"ts"&"e.c"&"o"&"m/w"&"p-c"&"on"&"te"&"nt/v"&"Ib"&"o"&"iE"&"ZP"&"bq"&"vT"&"F1"&"0Z"&"9/
|
|
$a_01_1 = {68 22 26 22 74 74 22 26 22 70 73 3a 2f 22 26 22 2f 77 77 22 26 22 77 2e 74 72 22 26 22 61 76 22 26 22 65 6c 22 26 22 6c 65 22 26 22 72 73 2d 61 22 26 22 75 74 22 26 22 6f 62 22 26 22 61 72 22 26 22 6e 72 22 26 22 76 2e 63 22 26 22 6f 22 26 22 6d 2f 6e 22 26 22 65 22 26 22 77 2f 70 22 26 22 65 37 22 26 22 72 78 22 26 22 67 47 2f } //1 h"&"tt"&"ps:/"&"/ww"&"w.tr"&"av"&"el"&"le"&"rs-a"&"ut"&"ob"&"ar"&"nr"&"v.c"&"o"&"m/n"&"e"&"w/p"&"e7"&"rx"&"gG/
|
|
$a_01_2 = {68 22 26 22 74 74 22 26 22 70 73 3a 2f 22 26 22 2f 6d 65 22 26 22 72 65 22 26 22 6b 6f 22 26 22 6e 74 22 26 22 65 69 22 26 22 6e 65 22 26 22 72 2e 65 22 26 22 75 2f 77 22 26 22 70 2d 63 22 26 22 6f 6e 22 26 22 74 65 22 26 22 6e 74 2f 6b 22 26 22 71 75 22 26 22 43 78 22 26 22 51 64 22 26 22 38 4e 22 26 22 69 78 22 26 22 41 67 22 26 22 63 55 22 26 22 42 32 2f } //1 h"&"tt"&"ps:/"&"/me"&"re"&"ko"&"nt"&"ei"&"ne"&"r.e"&"u/w"&"p-c"&"on"&"te"&"nt/k"&"qu"&"Cx"&"Qd"&"8N"&"ix"&"Ag"&"cU"&"B2/
|
|
$a_01_3 = {68 22 26 22 74 74 22 26 22 70 3a 2f 22 26 22 2f 68 69 22 26 22 72 73 22 26 22 63 68 22 26 22 66 65 22 26 22 6c 64 2e 62 22 26 22 69 7a 2f 63 22 26 22 67 22 26 22 69 2d 62 22 26 22 69 22 26 22 6e 2f 4f 78 22 26 22 30 7a 22 26 22 76 57 22 26 22 78 48 22 26 22 73 78 22 26 22 58 64 22 26 22 4f 41 22 26 22 49 77 2f } //1 h"&"tt"&"p:/"&"/hi"&"rs"&"ch"&"fe"&"ld.b"&"iz/c"&"g"&"i-b"&"i"&"n/Ox"&"0z"&"vW"&"xH"&"sx"&"Xd"&"OA"&"Iw/
|
|
$a_01_4 = {68 22 26 22 74 74 22 26 22 70 3a 2f 22 26 22 2f 73 22 26 22 64 2d 31 36 22 26 22 38 34 22 26 22 36 32 22 26 22 35 2d 68 22 26 22 30 30 22 26 22 30 30 22 26 22 31 2e 66 22 26 22 65 72 22 26 22 6f 7a 22 26 22 6f 2e 6e 22 26 22 65 22 26 22 74 2f 50 22 26 22 61 67 22 26 22 69 6e 22 26 22 61 4d 22 26 22 61 73 22 26 22 56 69 22 26 22 65 6a 22 26 22 61 31 33 22 26 22 32 31 22 26 22 36 35 22 26 22 34 2f 56 22 26 22 58 62 22 26 22 5a 6f 2f } //1 h"&"tt"&"p:/"&"/s"&"d-16"&"84"&"62"&"5-h"&"00"&"00"&"1.f"&"er"&"oz"&"o.n"&"e"&"t/P"&"ag"&"in"&"aM"&"as"&"Vi"&"ej"&"a13"&"21"&"65"&"4/V"&"Xb"&"Zo/
|
|
$a_01_5 = {68 74 22 26 22 74 70 3a 2f 22 26 22 2f 67 69 22 26 22 61 73 22 26 22 6f 74 22 26 22 74 69 2e 63 22 26 22 6f 22 26 22 6d 2f 63 22 26 22 67 22 26 22 69 2d 62 22 26 22 69 22 26 22 6e 2f 45 77 22 26 22 4d 58 22 26 22 38 42 22 26 22 5a 65 22 26 22 53 62 22 26 22 33 4a 22 26 22 38 2f } //1 ht"&"tp:/"&"/gi"&"as"&"ot"&"ti.c"&"o"&"m/c"&"g"&"i-b"&"i"&"n/Ew"&"MX"&"8B"&"Ze"&"Sb"&"3J"&"8/
|
|
$a_01_6 = {68 22 26 22 74 74 22 26 22 70 3a 2f 22 26 22 2f 64 6c 22 26 22 66 72 65 22 26 22 69 67 22 26 22 68 74 2e 63 22 26 22 6f 22 26 22 6d 2f 77 22 26 22 70 2d 69 22 26 22 6e 63 22 26 22 6c 75 22 26 22 64 65 22 26 22 73 2f 7a 4c 22 26 22 75 5a 22 26 22 64 74 22 26 22 56 6b 22 26 22 6f 72 22 26 22 69 47 22 26 22 54 61 22 26 22 52 45 2f } //1 h"&"tt"&"p:/"&"/dl"&"fre"&"ig"&"ht.c"&"o"&"m/w"&"p-i"&"nc"&"lu"&"de"&"s/zL"&"uZ"&"dt"&"Vk"&"or"&"iG"&"Ta"&"RE/
|
|
$a_01_7 = {68 22 26 22 74 74 22 26 22 70 3a 2f 22 26 22 2f 68 61 22 26 22 64 72 22 26 22 61 6d 22 26 22 6f 75 22 26 22 74 32 22 26 22 31 2e 63 22 26 22 6f 22 26 22 6d 2f 6a 22 26 22 65 74 22 26 22 70 61 22 26 22 63 6b 2d 74 22 26 22 65 6d 22 26 22 70 2f 4b 22 26 22 6a 4f 22 26 22 71 54 22 26 22 6e 43 22 26 22 77 42 22 26 22 62 56 22 26 22 72 7a 22 26 22 38 77 2f } //1 h"&"tt"&"p:/"&"/ha"&"dr"&"am"&"ou"&"t2"&"1.c"&"o"&"m/j"&"et"&"pa"&"ck-t"&"em"&"p/K"&"jO"&"qT"&"nC"&"wB"&"bV"&"rz"&"8w/
|
|
$a_01_8 = {68 22 26 22 74 74 22 26 22 70 3a 2f 22 26 22 2f 67 72 22 26 22 6f 75 22 26 22 70 65 22 26 22 73 74 22 26 22 68 65 22 26 22 72 2e 63 22 26 22 6f 22 26 22 6d 2f 77 22 26 22 70 2d 61 22 26 22 64 6d 22 26 22 69 6e 2f 32 22 26 22 68 68 22 26 22 63 4d 22 26 22 77 66 22 26 22 4f 47 22 26 22 30 61 22 26 22 52 69 22 26 22 31 74 2f } //1 h"&"tt"&"p:/"&"/gr"&"ou"&"pe"&"st"&"he"&"r.c"&"o"&"m/w"&"p-a"&"dm"&"in/2"&"hh"&"cM"&"wf"&"OG"&"0a"&"Ri"&"1t/
|
|
$a_01_9 = {68 22 26 22 74 74 22 26 22 70 3a 2f 22 26 22 2f 64 61 22 26 22 74 61 22 26 22 69 6e 22 26 22 6c 69 22 26 22 6e 65 2e 63 22 26 22 6f 22 26 22 6d 2f 61 22 26 22 73 70 22 26 22 6e 65 22 26 22 74 5f 63 6c 69 22 26 22 65 6e 22 26 22 74 2f 35 22 26 22 36 4c 22 26 22 77 41 22 26 22 4a 76 22 26 22 79 2f } //1 h"&"tt"&"p:/"&"/da"&"ta"&"in"&"li"&"ne.c"&"o"&"m/a"&"sp"&"ne"&"t_cli"&"en"&"t/5"&"6L"&"wA"&"Jv"&"y/
|
|
$a_01_10 = {68 22 26 22 74 74 22 26 22 70 3a 2f 22 26 22 2f 67 72 22 26 22 65 79 22 26 22 63 6f 22 26 22 63 6f 22 26 22 6e 75 22 26 22 74 2e 63 22 26 22 6f 22 26 22 6d 2f 65 22 26 22 64 22 26 22 6d 2f 30 22 26 22 79 77 22 26 22 66 32 22 26 22 62 46 2f } //1 h"&"tt"&"p:/"&"/gr"&"ey"&"co"&"co"&"nu"&"t.c"&"o"&"m/e"&"d"&"m/0"&"yw"&"f2"&"bF/
|
|
$a_01_11 = {68 22 26 22 74 74 22 26 22 70 3a 2f 22 26 22 2f 66 61 22 26 22 63 74 22 26 22 73 2d 6a 22 26 22 6f 2e 63 22 26 22 6f 22 26 22 6d 2f 69 22 26 22 6e 69 22 26 22 74 2f 6a 22 26 22 4c 51 22 26 22 59 32 22 26 22 46 70 22 26 22 65 73 22 26 22 6e 49 22 26 22 47 69 22 26 22 30 71 22 26 22 48 71 22 26 22 7a 2f } //1 h"&"tt"&"p:/"&"/fa"&"ct"&"s-j"&"o.c"&"o"&"m/i"&"ni"&"t/j"&"LQ"&"Y2"&"Fp"&"es"&"nI"&"Gi"&"0q"&"Hq"&"z/
|
|
$a_01_12 = {68 22 26 22 74 74 22 26 22 70 3a 2f 22 26 22 2f 66 61 22 26 22 73 68 22 26 22 69 6f 22 26 22 6e 62 22 26 22 79 70 22 26 22 72 69 22 26 22 6e 63 22 26 22 65 73 22 26 22 73 6d 22 26 22 65 6c 22 26 22 6f 64 22 26 22 69 63 22 26 22 61 61 22 26 22 68 2e 63 22 26 22 6f 22 26 22 6d 2f 34 31 22 26 22 38 35 22 26 22 50 49 22 26 22 4e 54 2f 6a 22 26 22 77 68 22 26 22 32 63 22 26 22 77 6a 22 26 22 46 48 22 26 22 4c 5a 22 26 22 4c 2f } //1 h"&"tt"&"p:/"&"/fa"&"sh"&"io"&"nb"&"yp"&"ri"&"nc"&"es"&"sm"&"el"&"od"&"ic"&"aa"&"h.c"&"o"&"m/41"&"85"&"PI"&"NT/j"&"wh"&"2c"&"wj"&"FH"&"LZ"&"L/
|
|
$a_01_13 = {68 22 26 22 74 74 22 26 22 70 3a 2f 22 26 22 2f 65 61 22 26 22 73 69 22 26 22 65 72 22 26 22 63 6f 22 26 22 6d 6d 22 26 22 75 6e 22 26 22 69 63 22 26 22 61 74 22 26 22 69 6f 22 26 22 6e 22 26 22 73 2e 63 22 26 22 6f 22 26 22 6d 2f 77 22 26 22 70 2d 63 22 26 22 6f 6e 22 26 22 74 65 22 26 22 6e 22 26 22 74 2f 79 22 26 22 71 4e 22 26 22 78 69 22 26 22 38 49 22 26 22 4b 62 22 26 22 52 49 22 26 22 74 37 22 26 22 61 6b 22 26 22 42 2f } //1 h"&"tt"&"p:/"&"/ea"&"si"&"er"&"co"&"mm"&"un"&"ic"&"at"&"io"&"n"&"s.c"&"o"&"m/w"&"p-c"&"on"&"te"&"n"&"t/y"&"qN"&"xi"&"8I"&"Kb"&"RI"&"t7"&"ak"&"B/
|
|
$a_01_14 = {68 22 26 22 74 22 26 22 74 22 26 22 70 22 26 22 73 3a 2f 22 26 22 2f 64 22 26 22 65 22 26 22 63 22 26 22 6f 22 26 22 72 22 26 22 75 22 26 22 73 22 26 22 66 22 26 22 69 22 26 22 6e 22 26 22 61 22 26 22 6e 22 26 22 63 22 26 22 69 22 26 22 61 22 26 22 6c 2e 63 22 26 22 6f 22 26 22 6d 2f 77 22 26 22 70 2d 63 22 26 22 6f 22 26 22 6e 22 26 22 74 22 26 22 65 22 26 22 6e 22 26 22 74 2f 37 22 26 22 64 22 26 22 4f 22 26 22 44 22 26 22 61 22 26 22 6b 22 26 22 65 22 26 22 5a 22 26 22 5a 22 26 22 38 22 26 22 33 22 26 22 66 22 26 22 4a 22 26 22 69 2f } //1 h"&"t"&"t"&"p"&"s:/"&"/d"&"e"&"c"&"o"&"r"&"u"&"s"&"f"&"i"&"n"&"a"&"n"&"c"&"i"&"a"&"l.c"&"o"&"m/w"&"p-c"&"o"&"n"&"t"&"e"&"n"&"t/7"&"d"&"O"&"D"&"a"&"k"&"e"&"Z"&"Z"&"8"&"3"&"f"&"J"&"i/
|
|
$a_01_15 = {68 22 26 22 74 22 26 22 74 22 26 22 70 22 26 22 73 3a 2f 22 26 22 2f 65 2d 6b 22 26 22 69 22 26 22 6e 22 26 22 65 22 26 22 72 22 26 22 6a 22 26 22 61 2e 6e 22 26 22 74 22 26 22 62 22 26 22 70 22 26 22 72 22 26 22 6f 22 26 22 76 2e 67 22 26 22 6f 2e 69 22 26 22 64 2f 61 22 26 22 73 22 26 22 65 22 26 22 74 2f 73 22 26 22 41 22 26 22 65 22 26 22 61 22 26 22 45 22 26 22 76 22 26 22 61 22 26 22 53 22 26 22 78 22 26 22 47 22 26 22 68 22 26 22 76 22 26 22 6e 22 26 22 73 22 26 22 75 22 26 22 46 22 26 22 45 2f } //1 h"&"t"&"t"&"p"&"s:/"&"/e-k"&"i"&"n"&"e"&"r"&"j"&"a.n"&"t"&"b"&"p"&"r"&"o"&"v.g"&"o.i"&"d/a"&"s"&"e"&"t/s"&"A"&"e"&"a"&"E"&"v"&"a"&"S"&"x"&"G"&"h"&"v"&"n"&"s"&"u"&"F"&"E/
|
|
condition:
|
|
((#a_01_0 & 1)*1+(#a_01_1 & 1)*1+(#a_01_2 & 1)*1+(#a_01_3 & 1)*1+(#a_01_4 & 1)*1+(#a_01_5 & 1)*1+(#a_01_6 & 1)*1+(#a_01_7 & 1)*1+(#a_01_8 & 1)*1+(#a_01_9 & 1)*1+(#a_01_10 & 1)*1+(#a_01_11 & 1)*1+(#a_01_12 & 1)*1+(#a_01_13 & 1)*1+(#a_01_14 & 1)*1+(#a_01_15 & 1)*1) >=1
|
|
|
|
} |