23 lines
6.2 KiB
Plaintext
23 lines
6.2 KiB
Plaintext
|
|
rule TrojanDownloader_O97M_Emotet_BOAH_MTB{
|
|
meta:
|
|
description = "TrojanDownloader:O97M/Emotet.BOAH!MTB,SIGNATURE_TYPE_MACROHSTR_EXT,01 00 01 00 0d 00 00 01 00 "
|
|
|
|
strings :
|
|
$a_01_0 = {3a 2f 22 26 22 2f 7a 22 26 22 6f 22 26 22 6f 22 26 22 6d 22 26 22 70 22 26 22 69 78 22 26 22 65 6c 2e 63 22 26 22 6f 22 26 22 6d 2e 62 22 26 22 72 2f 77 22 26 22 70 2d 61 22 26 22 64 22 26 22 6d 22 26 22 69 22 26 22 6e 2f 7a 22 26 22 41 22 26 22 52 22 26 22 49 22 26 22 43 22 26 22 50 22 26 22 5a 22 26 22 77 22 26 22 37 22 26 22 66 22 26 22 46 2f } //01 00 :/"&"/z"&"o"&"o"&"m"&"p"&"ix"&"el.c"&"o"&"m.b"&"r/w"&"p-a"&"d"&"m"&"i"&"n/z"&"A"&"R"&"I"&"C"&"P"&"Z"&"w"&"7"&"f"&"F/
|
|
$a_01_1 = {3a 2f 2f 62 22 26 22 70 22 26 22 73 22 26 22 6a 22 26 22 61 22 26 22 6d 22 26 22 62 22 26 22 69 2e 69 22 26 22 64 22 26 22 2f 22 26 22 61 22 26 22 62 22 26 22 6f 22 26 22 75 22 26 22 74 22 26 22 2f 22 26 22 52 22 26 22 54 22 26 22 5a 22 26 22 30 22 26 22 41 22 26 22 51 22 26 22 31 22 26 22 2f } //01 00 ://b"&"p"&"s"&"j"&"a"&"m"&"b"&"i.i"&"d"&"/"&"a"&"b"&"o"&"u"&"t"&"/"&"R"&"T"&"Z"&"0"&"A"&"Q"&"1"&"/
|
|
$a_01_2 = {3a 2f 22 26 22 2f 68 22 26 22 6f 73 22 26 22 74 22 26 22 69 22 26 22 6e 22 26 22 67 22 26 22 31 30 22 26 22 37 30 22 26 22 36 22 26 22 38 2e 61 22 26 22 32 22 26 22 66 22 26 22 32 22 26 22 61 2e 6e 22 26 22 65 22 26 22 74 22 26 22 63 22 26 22 75 22 26 22 70 2e 6e 22 26 22 65 22 26 22 74 2f 63 22 26 22 61 22 26 22 72 22 26 22 65 22 26 22 65 22 26 22 72 2f 30 22 26 22 6d 22 26 22 74 22 26 22 4e 22 26 22 4e 22 26 22 66 22 26 22 62 22 26 22 5a 2f } //01 00 :/"&"/h"&"os"&"t"&"i"&"n"&"g"&"10"&"70"&"6"&"8.a"&"2"&"f"&"2"&"a.n"&"e"&"t"&"c"&"u"&"p.n"&"e"&"t/c"&"a"&"r"&"e"&"e"&"r/0"&"m"&"t"&"N"&"N"&"f"&"b"&"Z/
|
|
$a_01_3 = {3a 2f 2f 61 22 26 22 67 22 26 22 69 22 26 22 74 22 26 22 61 22 26 22 73 69 2e 69 22 26 22 64 2f 6d 2f 71 22 26 22 4c 22 26 22 43 22 26 22 5a 22 26 22 57 22 26 22 74 2f } //01 00 ://a"&"g"&"i"&"t"&"a"&"si.i"&"d/m/q"&"L"&"C"&"Z"&"W"&"t/
|
|
$a_01_4 = {3a 2f 2f 64 22 26 22 6a 68 22 26 22 6f 22 26 22 73 22 26 22 74 2e 6e 22 26 22 6c 2f 38 22 26 22 48 22 26 22 4f 22 26 22 69 22 26 22 63 22 26 22 6f 22 26 22 42 22 26 22 75 22 26 22 66 22 26 22 51 22 26 22 4e 22 26 22 62 22 26 22 6a 22 26 22 62 22 26 22 4d 2f } //01 00 ://d"&"jh"&"o"&"s"&"t.n"&"l/8"&"H"&"O"&"i"&"c"&"o"&"B"&"u"&"f"&"Q"&"N"&"b"&"j"&"b"&"M/
|
|
$a_01_5 = {3a 2f 2f 63 22 26 22 6f 22 26 22 6d 22 26 22 70 22 26 22 75 22 26 22 74 22 26 22 65 22 26 22 72 22 26 22 63 22 26 22 6f 22 26 22 6c 22 26 22 6c 22 26 22 65 22 26 22 67 22 26 22 69 22 26 22 61 22 26 22 74 22 26 22 65 2e 63 22 26 22 6f 22 26 22 6d 2e 70 22 26 22 6b 2f 77 22 26 22 70 2d 61 22 26 22 64 22 26 22 6d 22 26 22 69 6e 2f 71 22 26 22 36 22 26 22 39 22 26 22 44 22 26 22 5a 22 26 22 58 22 26 22 34 22 26 22 6b 22 26 22 4b 22 26 22 5a 22 26 22 36 22 26 22 73 22 26 22 73 22 26 22 52 22 26 22 51 2f } //01 00 ://c"&"o"&"m"&"p"&"u"&"t"&"e"&"r"&"c"&"o"&"l"&"l"&"e"&"g"&"i"&"a"&"t"&"e.c"&"o"&"m.p"&"k/w"&"p-a"&"d"&"m"&"in/q"&"6"&"9"&"D"&"Z"&"X"&"4"&"k"&"K"&"Z"&"6"&"s"&"s"&"R"&"Q/
|
|
$a_01_6 = {3a 2f 2f 77 22 26 22 77 22 26 22 77 2e 61 22 26 22 64 76 22 26 22 61 6e 22 26 22 63 65 22 26 22 6e 65 22 26 22 74 2e 69 22 26 22 74 2f 63 22 26 22 66 22 26 22 67 2f 39 22 26 22 38 58 22 26 22 50 6a 2f } //01 00 ://w"&"w"&"w.a"&"dv"&"an"&"ce"&"ne"&"t.i"&"t/c"&"f"&"g/9"&"8X"&"Pj/
|
|
$a_01_7 = {3a 2f 2f 61 22 26 22 6e 22 26 22 61 22 26 22 6d 22 26 22 61 22 26 22 66 22 26 22 65 22 26 22 67 22 26 22 61 22 26 22 72 22 26 22 63 22 26 22 69 22 26 22 61 2e 65 22 26 22 73 2f 63 22 26 22 73 22 26 22 73 2f 56 22 26 22 47 22 26 22 42 22 26 22 4a 22 26 22 68 22 26 22 6a 22 26 22 70 22 26 22 75 22 26 22 31 22 26 22 39 22 26 22 65 22 26 22 43 22 26 22 62 22 26 22 71 22 26 22 38 22 26 22 67 22 26 22 62 22 26 22 59 22 26 22 6e 22 26 22 41 2f } //01 00 ://a"&"n"&"a"&"m"&"a"&"f"&"e"&"g"&"a"&"r"&"c"&"i"&"a.e"&"s/c"&"s"&"s/V"&"G"&"B"&"J"&"h"&"j"&"p"&"u"&"1"&"9"&"e"&"C"&"b"&"q"&"8"&"g"&"b"&"Y"&"n"&"A/
|
|
$a_01_8 = {3a 2f 2f 77 22 26 22 77 22 26 22 77 2e 61 22 26 22 6c 75 22 26 22 67 22 26 22 75 22 26 22 65 22 26 22 6c 22 26 22 64 22 26 22 65 22 26 22 62 72 22 26 22 69 22 26 22 6e 22 26 22 71 22 26 22 75 22 26 22 65 22 26 22 64 22 26 22 6f 22 26 22 73 2e 62 22 26 22 61 22 26 22 72 22 26 22 75 22 26 22 65 22 26 22 72 22 26 22 2e 62 22 26 22 72 2f 77 22 26 22 70 2d 63 22 26 22 6f 6e 22 26 22 74 65 22 26 22 6e 74 2f 45 22 26 22 57 22 26 22 32 22 26 22 33 22 26 22 72 22 26 22 43 22 26 22 33 22 26 22 69 22 26 22 69 22 26 22 31 22 26 22 58 22 26 22 58 2f } //01 00 ://w"&"w"&"w.a"&"lu"&"g"&"u"&"e"&"l"&"d"&"e"&"br"&"i"&"n"&"q"&"u"&"e"&"d"&"o"&"s.b"&"a"&"r"&"u"&"e"&"r"&".b"&"r/w"&"p-c"&"on"&"te"&"nt/E"&"W"&"2"&"3"&"r"&"C"&"3"&"i"&"i"&"1"&"X"&"X/
|
|
$a_01_9 = {3a 22 26 22 2f 22 26 22 2f 63 22 26 22 65 64 22 26 22 65 63 22 26 22 6f 2e 65 22 26 22 73 2f 6a 22 26 22 73 2f 6e 22 26 22 37 22 26 22 34 66 22 26 22 53 2f } //01 00 :"&"/"&"/c"&"ed"&"ec"&"o.e"&"s/j"&"s/n"&"7"&"4f"&"S/
|
|
$a_01_10 = {3a 22 26 22 2f 22 26 22 2f 62 22 26 22 61 6c 22 26 22 74 69 22 26 22 63 63 22 26 22 6f 6e 22 26 22 74 72 22 26 22 6f 6c 22 26 22 62 64 2e 63 22 26 22 6f 22 26 22 6d 2f 63 22 26 22 67 22 26 22 69 2d 62 22 26 22 69 22 26 22 6e 2f 47 22 26 22 75 30 22 26 22 78 6e 22 26 22 6f 30 22 26 22 6b 49 73 22 26 22 73 47 22 26 22 4a 46 22 26 22 38 2f } //01 00 :"&"/"&"/b"&"al"&"ti"&"cc"&"on"&"tr"&"ol"&"bd.c"&"o"&"m/c"&"g"&"i-b"&"i"&"n/G"&"u0"&"xn"&"o0"&"kIs"&"sG"&"JF"&"8/
|
|
$a_01_11 = {3a 2f 2f 66 22 26 22 69 6b 22 26 22 74 69 2e 62 22 26 22 65 22 26 22 6d 2e 67 22 26 22 75 6e 22 26 22 61 64 22 26 22 61 72 22 26 22 6d 61 2e 61 22 26 22 63 2e 69 22 26 22 64 2f 53 22 26 22 44 22 26 22 4d 2f 71 22 26 22 4e 65 22 26 22 4d 55 22 26 22 65 32 22 26 22 52 76 22 26 22 78 64 22 26 22 76 75 22 26 22 52 6c 22 26 22 66 2f } //01 00 ://f"&"ik"&"ti.b"&"e"&"m.g"&"un"&"ad"&"ar"&"ma.a"&"c.i"&"d/S"&"D"&"M/q"&"Ne"&"MU"&"e2"&"Rv"&"xd"&"vu"&"Rl"&"f/
|
|
$a_01_12 = {3a 2f 2f 77 22 26 22 77 22 26 22 77 2e 63 61 22 26 22 72 65 22 26 22 6f 66 22 26 22 75 2e 63 22 26 22 6f 22 26 22 6d 2f 50 22 26 22 48 50 22 26 22 45 22 26 22 78 63 22 26 22 65 6c 2f 73 22 26 22 51 37 22 26 22 38 42 22 26 22 65 64 22 26 22 72 69 22 26 22 62 4e 22 26 22 4a 5a 22 26 22 62 47 22 26 22 59 6a 2f } //00 00 ://w"&"w"&"w.ca"&"re"&"of"&"u.c"&"o"&"m/P"&"HP"&"E"&"xc"&"el/s"&"Q7"&"8B"&"ed"&"ri"&"bN"&"JZ"&"bG"&"Yj/
|
|
condition:
|
|
any of ($a_*)
|
|
|
|
} |