13 lines
994 B
Plaintext
13 lines
994 B
Plaintext
|
|
rule Worm_Win32_Vobfus_Z{
|
|
meta:
|
|
description = "Worm:Win32/Vobfus.Z,SIGNATURE_TYPE_PEHSTR_EXT,02 00 02 00 03 00 00 "
|
|
|
|
strings :
|
|
$a_02_0 = {f5 2e 00 00 00 04 ?? ?? 0a ?? ?? ?? ?? 04 ?? ?? fb ef ?? ?? f5 63 00 00 00 04 ?? ?? 0a ?? ?? ?? ?? 04 ?? ?? fb ef ?? ?? f5 6f 00 00 00 04 ?? ?? 0a ?? ?? ?? ?? 04 ?? ?? fb ef ?? ?? f5 64 00 00 00 04 ?? ?? 0a ?? ?? ?? ?? 04 ?? ?? fb ef ?? ?? f5 65 00 00 00 0b ?? ?? ?? ?? 46 ?? ?? fb ef ?? ?? f5 63 00 00 00 } //1
|
|
$a_02_1 = {f5 64 00 00 00 04 ?? ?? 0a ?? ?? ?? ?? 04 ?? ?? fb ef ?? ?? f5 65 00 00 00 0b ?? ?? ?? ?? 46 ?? ?? fb ef ?? ?? f5 63 00 00 00 0b ?? ?? ?? ?? 46 ?? ?? fb ef ?? ?? f5 6f 00 00 00 04 ?? ?? 0a ?? ?? ?? ?? 04 ?? ?? fb ef ?? ?? f5 6e 00 00 00 } //1
|
|
$a_02_2 = {f5 70 00 00 00 04 ?? ?? 0a ?? ?? ?? ?? 04 ?? ?? fb ef ?? ?? f5 6c 00 00 00 0b ?? ?? ?? ?? 46 ?? ?? fb ef ?? ?? f5 61 00 00 00 04 ?? ?? 0a ?? ?? ?? ?? 04 ?? ?? fb ef ?? ?? f5 79 00 00 00 } //1
|
|
condition:
|
|
((#a_02_0 & 1)*1+(#a_02_1 & 1)*1+(#a_02_2 & 1)*1) >=2
|
|
|
|
} |