15 lines
1.5 KiB
Plaintext
15 lines
1.5 KiB
Plaintext
|
|
rule TrojanDownloader_O97M_PShell_F{
|
|
meta:
|
|
description = "TrojanDownloader:O97M/PShell.F,SIGNATURE_TYPE_MACROHSTR_EXT,05 00 05 00 05 00 00 "
|
|
|
|
strings :
|
|
$a_02_0 = {50 72 69 76 61 74 65 20 53 75 62 20 44 6f 63 75 6d 65 6e 74 5f 43 6c 6f 73 65 28 29 0d 0a 45 6e 64 5f 5f 0d 0a 45 6e 64 20 53 75 62 [0-08] 50 72 69 76 61 74 65 20 53 75 62 20 44 6f 63 75 6d 65 6e 74 5f 4f 70 65 6e 28 29 [0-08] 57 69 74 68 20 43 72 65 61 74 65 4f 62 6a 65 63 74 28 22 57 53 63 72 69 70 74 2e 53 68 65 6c 6c 22 29 0d 0a } //1
|
|
$a_00_1 = {41 63 74 69 76 65 44 6f 63 75 6d 65 6e 74 2e 42 6f 6f 6b 6d 61 72 6b 73 28 22 62 5f 22 29 2e 52 61 6e 67 65 2e 53 65 6c 65 63 74 0d 0a 20 20 20 20 41 63 74 69 76 65 44 6f 63 75 6d 65 6e 74 2e 42 6f 6f 6b 6d 61 72 6b 73 28 22 62 5f 22 29 2e 52 61 6e 67 65 2e 46 6f 6e 74 2e 48 69 64 64 65 6e 20 3d 20 54 72 75 65 0d 0a 20 20 20 20 41 70 70 6c 69 63 61 74 69 6f 6e 2e 53 65 6c 65 63 74 69 6f 6e 2e 45 6e 64 4f 66 0d 0a 20 20 20 20 41 63 74 69 76 65 44 6f 63 75 6d 65 6e 74 2e 53 61 76 65 0d 0a 45 6e 64 20 53 75 62 0d 0a } //1
|
|
$a_02_2 = {2e 52 75 6e 20 22 43 6d 64 20 2f 43 [0-03] 22 20 2b 20 43 68 72 28 33 34 29 20 2b 20 22 [0-03] 45 63 68 6f [0-03] 49 45 58 20 } //1
|
|
$a_00_3 = {7c 20 70 4f 77 45 72 53 68 65 4c 6c 20 } //1 | pOwErSheLl
|
|
$a_02_4 = {2b 20 43 68 72 28 33 34 29 2c 20 30 2c 20 46 61 6c 73 65 [0-06] 45 6e 64 20 57 69 74 68 [0-06] 0d 0a 53 74 61 72 74 5f 5f 0d 0a [0-04] 45 6e 64 20 53 75 62 } //1
|
|
condition:
|
|
((#a_02_0 & 1)*1+(#a_00_1 & 1)*1+(#a_02_2 & 1)*1+(#a_00_3 & 1)*1+(#a_02_4 & 1)*1) >=5
|
|
|
|
} |