14 lines
709 B
Plaintext
14 lines
709 B
Plaintext
|
|
rule Worm_Win32_Vobfus_AW{
|
|
meta:
|
|
description = "Worm:Win32/Vobfus.AW,SIGNATURE_TYPE_PEHSTR_EXT,03 00 03 00 04 00 00 "
|
|
|
|
strings :
|
|
$a_01_0 = {ee 14 02 00 00 00 00 00 c0 00 00 00 00 00 00 46 } //1
|
|
$a_03_1 = {f3 e7 03 2b ?? ?? f4 01 2b ?? ?? 0b ?? 00 ?? ?? ?? ?? 23 ?? ?? 2a 23 ?? ?? 1b ?? 00 2a 23 ?? ?? 1b ?? 00 2a 23 ?? ?? 1b ?? 00 } //1
|
|
$a_03_2 = {f5 28 00 00 00 0b ?? ?? ?? ?? 23 ?? ?? f5 5c 00 00 00 0b ?? ?? ?? ?? 23 ?? ?? 2a 23 ?? ?? 0b ?? ?? 00 00 23 ?? ?? 2a 23 ?? ?? 94 08 00 7c 00 2a } //1
|
|
$a_03_3 = {07 08 00 04 00 52 [0-06] 1b ?? 00 1b ?? 00 2a 23 ?? ?? 1b ?? 00 2a fd ?? 08 ?? ?? ?? 2f } //1
|
|
condition:
|
|
((#a_01_0 & 1)*1+(#a_03_1 & 1)*1+(#a_03_2 & 1)*1+(#a_03_3 & 1)*1) >=3
|
|
|
|
} |