13 lines
655 B
Plaintext
13 lines
655 B
Plaintext
|
|
rule VirTool_Win64_Wilodesz_A_MTB{
|
|
meta:
|
|
description = "VirTool:Win64/Wilodesz.A!MTB,SIGNATURE_TYPE_PEHSTR_EXT,03 00 03 00 03 00 00 "
|
|
|
|
strings :
|
|
$a_03_0 = {b9 04 01 00 00 ff 15 ?? ?? ?? ?? 48 8d 15 ?? ?? ?? ?? 48 8d 8c ?? ?? ?? ?? ?? ff 15 ?? ?? ?? ?? 45 33 c0 48 8d 94 ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ff 15 } //1
|
|
$a_03_1 = {ba 00 00 00 40 8b f0 ff 15 ?? ?? ?? ?? 48 8b d8 48 83 f8 ff 75 } //1
|
|
$a_03_2 = {48 8b cb ff 15 ?? ?? ?? ?? 48 8b 0d e9 35 00 00 48 8d 15 ?? ?? ?? ?? e8 c5 ?? ?? ?? 48 8b c8 48 8d 15 ?? ?? ?? ?? ff 15 ?? ?? ?? ?? 48 8d 0d ?? ?? ?? ?? ff 15 } //1
|
|
condition:
|
|
((#a_03_0 & 1)*1+(#a_03_1 & 1)*1+(#a_03_2 & 1)*1) >=3
|
|
|
|
} |