14 lines
1.1 KiB
Plaintext
14 lines
1.1 KiB
Plaintext
|
|
rule TrojanDownloader_O97M_Obfuse_SSMK_MTB{
|
|
meta:
|
|
description = "TrojanDownloader:O97M/Obfuse.SSMK!MTB,SIGNATURE_TYPE_MACROHSTR_EXT,04 00 04 00 04 00 00 01 00 "
|
|
|
|
strings :
|
|
$a_01_0 = {2e 44 61 74 61 54 79 70 65 20 3d 20 6b 69 70 66 74 72 72 77 78 6e 79 70 6e 7a 66 28 22 36 32 36 39 36 65 32 65 36 38 22 29 20 26 20 6b 69 70 66 74 72 72 77 78 6e 79 70 6e 7a 66 28 22 36 35 37 38 22 29 } //01 00 .DataType = kipftrrwxnypnzf("62696e2e68") & kipftrrwxnypnzf("6578")
|
|
$a_01_1 = {65 6e 74 72 79 5f 63 6c 61 73 73 20 3d 20 6b 69 70 66 74 72 72 77 78 6e 79 70 6e 7a 66 28 22 34 64 36 35 22 29 20 26 20 6b 69 70 66 74 72 72 77 78 6e 79 70 6e 7a 66 28 22 37 34 36 35 37 32 35 30 37 32 36 35 37 34 36 35 37 32 22 29 } //01 00 entry_class = kipftrrwxnypnzf("4d65") & kipftrrwxnypnzf("746572507265746572")
|
|
$a_01_2 = {26 20 6b 69 70 66 74 72 72 77 78 6e 79 70 6e 7a 66 28 22 36 64 36 31 37 34 37 34 36 35 37 32 22 29 29 } //01 00 & kipftrrwxnypnzf("6d6174746572"))
|
|
$a_03_3 = {2e 44 61 74 61 54 79 70 65 20 3d 20 90 02 25 28 22 36 32 36 39 36 65 32 65 36 38 22 29 20 26 20 90 02 25 28 22 36 35 37 38 22 29 90 00 } //00 00
|
|
condition:
|
|
any of ($a_*)
|
|
|
|
} |