Mirrors/reversinglabs-reversinglabs-yara-rules
1
0
Fork 0
mirror of https://github.com/reversinglabs/reversinglabs-yara-rules synced 2026-06-08 17:57:13 +00:00
Code Issues Packages Projects Releases Wiki Activity

Added new YARA rules.

Browse Source
This commit is contained in:
Software Developer
2025-03-17 14:00:03 +01:00
parent 91d5ee1e58
commit 1ffdf3cc00
2 changed files with 268 additions and 0 deletions
Download Patch File Download Diff File Expand all files Collapse all files
yara/backdoor/Linux.Backdoor.WolfsBane.yara
+124
View File
@@ -0,0 +1,124 @@
rule Linux_Backdoor_WolfsBane : tc_detection malicious
{
meta:
author = "ReversingLabs"
source = "ReversingLabs"
status = "RELEASED"
sharing = "TLP:WHITE"
category = "MALWARE"
malware = "WOLFSBANE"
description = "Yara rule that detects WolfsBane backdoor."
tc_detection_type = "Backdoor"
tc_detection_name = "WolfsBane"
tc_detection_factor = 5
strings:
$load_embedded_library = {
41 57 41 56 41 55 41 54 49 89 FC 55 53 48 89 F3 48 83 EC ?? 48 8B 05 ?? ?? ?? ?? 48
C7 47 ?? ?? ?? ?? ?? C7 47 ?? ?? ?? ?? ?? 48 C7 47 ?? ?? ?? ?? ?? 48 C7 47 ?? ?? ??
?? ?? C7 47 ?? ?? ?? ?? ?? 48 83 C0 ?? 48 C7 47 ?? ?? ?? ?? ?? 48 89 07 48 8D 47 ??
48 89 47 ?? 48 89 47 ?? 48 8D 47 ?? 48 89 47 ?? 48 89 47 ?? 48 8B 06 48 39 46 ?? 0F
84 ?? ?? ?? ?? 4C 8B 3D ?? ?? ?? ?? BF ?? ?? ?? ?? 49 89 E5 49 8D 47 ?? 48 89 44 24
?? E8 ?? ?? ?? ?? 48 8B 15 ?? ?? ?? ?? 48 89 58 ?? 48 8B 1D ?? ?? ?? ?? 48 C7 40 ??
?? ?? ?? ?? C7 40 ?? ?? ?? ?? ?? 48 89 44 24 ?? 48 83 C2 ?? 48 89 44 24 ?? 48 C7 44
24 ?? ?? ?? ?? ?? 48 89 10 48 8D 43 ?? 48 C7 44 24 ?? ?? ?? ?? ?? 48 C7 44 24 ?? ??
?? ?? ?? 48 89 04 24 48 8D 43 ?? 48 89 44 24 ?? 48 89 E0 48 03 03 48 8B 50 ?? 48 39
50 ?? 0F 84 ?? ?? ?? ?? 48 8B 05 ?? ?? ?? ?? 4C 8D 74 24 ?? 48 8D 54 24 ?? 4C 89 F7
48 8B 70 ?? 31 C0 80 3E ?? 0F 94 C0 48 01 C6 E8 ?? ?? ?? ?? 48 8B 04 24 4C 89 ED 48
03 68 ?? 48 8B 7D ?? 48 3B 7D ?? 0F 84 ?? ?? ?? ?? 48 85 FF 0F 84 ?? ?? ?? ?? 4C 89
F6 E8 ?? ?? ?? ?? 48 8B 45 ?? 48 83 C0 ?? 48 89 45 ?? 4C 89 F7 E8 ?? ?? ?? ?? 48 8D
43 ?? 48 8B 7C 24 ?? 48 89 04 24 49 8D 47 ?? 48 85 FF 48 89 44 24 ?? 74 ?? 48 8B 07
FF 50 ?? 48 8B 6C 24 ?? 48 8B 5C 24 ?? 48 39 DD 74 ?? 66 0F 1F 44 00 ?? 48 89 DF E8
?? ?? ?? ?? 48 83 C3 ?? 48 39 DD 75 ?? 48 8B 6C 24 ?? 48 85 ED 74 ?? 48 89 EF E8 ??
?? ?? ?? 48 83 C4 ?? 4C 89 E0 5B 5D 41 5C 41 5D 41 5E 41 5F C3
}
$decrypt_embedded_library_1 = {
41 57 41 56 41 55 41 54 55 48 89 F5 53 48 89 FB 48 81 EC ?? ?? ?? ?? 48 8B 77 ?? 48
8D 84 24 ?? ?? ?? ?? 48 8D 94 24 ?? ?? ?? ?? 48 89 C7 48 89 44 24 ?? E8 ?? ?? ?? ??
48 8B 84 24 ?? ?? ?? ?? 48 83 78 ?? ?? 0F 84 ?? ?? ?? ?? 48 8B 45 ?? 48 39 45 ?? 0F
84 ?? ?? ?? ?? 4C 8D A4 24 ?? ?? ?? ?? 48 8D 94 24 ?? ?? ?? ?? 48 8D 35 ?? ?? ?? ??
4C 89 E7 E8 ?? ?? ?? ?? 48 8D 84 24 ?? ?? ?? ?? 48 8B 74 24 ?? 4C 89 E2 48 89 C7 48
89 44 24 ?? E8 ?? ?? ?? ?? 4C 89 E7 E8 ?? ?? ?? ?? 48 8B 84 24 ?? ?? ?? ?? 48 39 84
24 ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 48 8B 05 ?? ?? ?? ?? 48 8B 15 ?? ?? ?? ?? 4C 8D BC
24 ?? ?? ?? ?? 48 C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? 48 C7 84 24 ?? ?? ?? ?? ?? ?? ??
?? 48 C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? 48 83 C0 ?? 48 83 C2 ?? 48 89 84 24 ?? ?? ??
?? 48 89 84 24 ?? ?? ?? ?? 48 89 84 24 ?? ?? ?? ?? 4C 8B 23 48 89 94 24 ?? ?? ?? ??
4C 89 E7 E8 ?? ?? ?? ?? 49 8D 7F ?? 48 89 C2 4C 89 E6 E8 ?? ?? ?? ?? 4C 8B 63 ?? 4C
89 E7 E8 ?? ?? ?? ?? 49 8D 7F ?? 48 89 C2 4C 89 E6 E8 ?? ?? ?? ?? 48 8B 5B ?? 48 89
DF E8 ?? ?? ?? ?? 49 8D 7F ?? 48 89 C2 48 89 DE E8 ?? ?? ?? ?? 49 8D 7F ?? 48 89 EE
E8 ?? ?? ?? ?? 48 8D 9C 24 ?? ?? ?? ?? 48 8D 84 24 ?? ?? ?? ?? 4C 89 FE 48 C7 84 24
?? ?? ?? ?? ?? ?? ?? ?? 48 C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? 48 89 DF 48 C7 84 24 ??
?? ?? ?? ?? ?? ?? ?? 48 89 44 24 ?? E8 ?? ?? ?? ?? 48 8D 84 24 ?? ?? ?? ?? 48 89 DE
48 89 C7 48 89 44 24 ?? E8 ?? ?? ?? ?? 48 8B BC 24 ?? ?? ?? ?? 48 85 FF 74 ?? E8 ??
?? ?? ?? 48 8D 84 24 ?? ?? ?? ?? 48 8D 94 24 ?? ?? ?? ?? 48 8D 35 ?? ?? ?? ?? 48 89
C7 48 89 44 24 ?? E8 ?? ?? ?? ?? 48 8D 84 24 ?? ?? ?? ?? 48 89 C7 48 89 44 24 ?? E8
}
$decrypt_embedded_library_2 = {
48 8D 7C 24 ?? 49 89 F9 0F 1F 84 00 ?? ?? ?? ?? 89 CA 89 C8 83 C1 ?? C1 FA ?? F7 FB
48 63 D2 0F B6 04 16 41 88 01 49 83 C1 ?? 81 F9 ?? ?? ?? ?? 75 ?? 48 8D B5 ?? ?? ??
?? 48 89 E8 31 D2 66 90 0F B6 18 44 0F B6 0F 48 83 C7 ?? 0F B6 CB 41 8D 0C 09 8D 14
11 41 89 D3 41 C1 FB ?? 41 C1 EB ?? 44 01 DA 81 E2 ?? ?? ?? ?? 44 29 DA 48 63 CA 83
C2 ?? 44 0F B6 8C 0C ?? ?? ?? ?? 44 88 08 48 83 C0 ?? 88 9C 0C ?? ?? ?? ?? 48 39 F0
75 ?? 4D 29 C2 45 85 D2 0F 8E ?? ?? ?? ?? 41 83 EA ?? 31 C0 31 D2 4F 8D 54 10 ?? 66
0F 1F 84 00 ?? ?? 00 00 83 C2 ?? 89 D1 C1 F9 ?? C1 E9 ?? 01 CA 81 E2 ?? ?? ?? ?? 29
CA 48 63 CA 83 C2 ?? 0F B6 BC 0C ?? ?? ?? ?? 40 0F B6 DF 8D 04 03 89 C6 C1 FE ?? C1
EE ?? 01 F0 25 ?? ?? ?? ?? 29 F0 48 63 F0 83 C0 ?? 44 0F B6 8C 34 ?? ?? ?? ?? 44 88
8C 0C ?? ?? ?? ?? 40 88 BC 34 ?? ?? ?? ?? 02 9C 0C ?? ?? ?? ?? 0F B6 DB 0F B6 8C 1C
?? ?? ?? ?? 41 30 08 49 83 C0 ?? 4D 39 D0 75 ?? B9 ?? ?? ?? ?? 31 C0 48 89 EF F3 48
AB 48 8B BC 24 ?? ?? ?? ?? 48 85 FF 74 ?? E8 ?? ?? ?? ?? 48 8B B4 24 ?? ?? ?? ?? 48
8B 7C 24 ?? E8 ?? ?? ?? ?? 48 8B 7C 24 ?? E8 ?? ?? ?? ?? 48 8B BC 24 ?? ?? ?? ?? 48
8B 84 24 ?? ?? ?? ?? 48 29 F8 48 C1 F8 ?? 48 83 F8 ?? 74 ?? 48 8B BC 24 ?? ?? ?? ??
48 85 FF 74 ?? E8 ?? ?? ?? ?? 4C 89 FF E8 ?? ?? ?? ?? 48 8B 7C 24 ?? E8 ?? ?? ?? ??
48 8B 7C 24 ?? E8 ?? ?? ?? ?? 48 81 C4 ?? ?? ?? ?? 5B 5D 41 5C 41 5D 41 5E 41 5F C3
}
$remove_backdoor_p1 = {
41 57 48 8D 35 ?? ?? ?? ?? 41 56 41 55 41 54 55 53 48 81 EC ?? ?? ?? ?? 48 8D AC 24
?? ?? ?? ?? 48 8D 94 24 ?? ?? ?? ?? 48 89 EF E8 ?? ?? ?? ?? 48 8D 9C 24 ?? ?? ?? ??
48 89 DF E8 ?? ?? ?? ?? 48 89 EE 48 89 DF E8 ?? ?? ?? ?? 48 8D 94 24 ?? ?? ?? ?? 48
89 C6 48 89 D7 48 89 54 24 ?? E8 ?? ?? ?? ?? 48 8B B4 24 ?? ?? ?? ?? 48 89 DF E8 ??
?? ?? ?? 48 89 EF E8 ?? ?? ?? ?? 4C 8B 35 ?? ?? ?? ?? 48 8D AC 24 ?? ?? ?? ?? 48 89
EF 49 8D 76 ?? E8 ?? ?? ?? ?? 48 8D 9C 24 ?? ?? ?? ?? 48 89 EE 48 89 DF E8 ?? ?? ??
?? 48 8D 84 24 ?? ?? ?? ?? 48 89 DE 48 89 C7 48 89 44 24 ?? E8 ?? ?? ?? ?? 48 89 DF
E8 ?? ?? ?? ?? 48 89 EF E8 ?? ?? ?? ?? 48 8B 84 24 ?? ?? ?? ?? 48 2B 84 24 ?? ?? ??
?? C7 44 24 ?? ?? ?? ?? ?? 48 83 F8 ?? 0F 84 ?? ?? ?? ?? 48 8D AC 24 ?? ?? ?? ?? 49
8D 76 ?? 48 89 EF E8 ?? ?? ?? ?? 48 8D 9C 24 ?? ?? ?? ?? 48 89 EE 48 89 DF E8 ?? ??
?? ?? 4C 8D A4 24 ?? ?? ?? ?? 48 89 DE 4C 89 E7 E8 ?? ?? ?? ?? 48 8B 7C 24 ?? 4C 89
E6 E8 ?? ?? ?? ?? 48 8B BC 24 ?? ?? ?? ?? 48 85 FF 74 ?? E8 ?? ?? ?? ?? 48 89 DF E8
?? ?? ?? ?? 48 89 EF E8 ?? ?? ?? ?? 48 8B 84 24 ?? ?? ?? ?? 48 2B 84 24
}
$remove_backdoor_p2 = {
45 31 FF 48 83 F8 ?? 0F 84 ?? ?? ?? ?? 4C 8D A4 24 ?? ?? ?? ?? 48 8D 94 24 ?? ?? ??
?? 48 8D 35 ?? ?? ?? ?? 4C 89 E7 E8 ?? ?? ?? ?? 48 8D AC 24 ?? ?? ?? ?? 48 8D 94 24
?? ?? ?? ?? 48 8D 35 ?? ?? ?? ?? 48 89 EF E8 ?? ?? ?? ?? 48 8D 9C 24 ?? ?? ?? ?? 48
89 DF E8 ?? ?? ?? ?? 48 89 EE 48 89 DF E8 ?? ?? ?? ?? 4C 8D AC 24 ?? ?? ?? ?? 4C 89
E2 48 89 C6 4C 89 EF E8 ?? ?? ?? ?? 48 8B B4 24 ?? ?? ?? ?? 48 89 DF E8 ?? ?? ?? ??
48 89 EF E8 ?? ?? ?? ?? 4C 89 E7 E8 ?? ?? ?? ?? 48 8B BC 24 ?? ?? ?? ?? 48 8B 84 24
?? ?? ?? ?? 48 29 F8 48 C1 F8 ?? 48 83 F8 ?? 0F 84 ?? ?? ?? ?? 41 8B 06 85 C0 0F 84
?? ?? ?? ?? 48 8D 5C 24 ?? 31 C0 B9 ?? ?? ?? ?? 45 85 FF 48 89 DF F3 48 AB 0F 85 ??
?? ?? ?? 44 8B 7C 24 ?? 45 85 FF 74 ?? 31 C0 B9 ?? ?? ?? ?? 48 89 DF F3 48 AB 8B 54
24 ?? 48 8D 35 ?? ?? ?? ?? 48 89 DF E8 ?? ?? ?? ?? 48 89 DF E8 ?? ?? ?? ?? 4C 89 EF
E8 ?? ?? ?? ?? 48 8B BC 24 ?? ?? ?? ?? 48 85 FF 74 ?? E8 ?? ?? ?? ?? 48 8B 7C 24 ??
E8 ?? ?? ?? ?? 48 81 C4 ?? ?? ?? ?? 5B 5D 41 5C 41 5D 41 5E 41 5F C3
}
condition:
uint32(0) == 0x464C457F and
(
$load_embedded_library
) and
(
all of ($decrypt_embedded_library_*)
) and
(
all of ($remove_backdoor_p*)
)
}
yara/backdoor/Win64.Backdoor.wmRAT.yara
+144
View File
@@ -0,0 +1,144 @@
rule Win64_Backdoor_wmRAT : tc_detection malicious
{
meta:
author = "ReversingLabs"
source = "ReversingLabs"
status = "RELEASED"
sharing = "TLP:WHITE"
category = "MALWARE"
malware = "WMRAT"
description = "Yara rule that detects wmRAT backdoor."
tc_detection_type = "Backdoor"
tc_detection_name = "wmRAT"
tc_detection_factor = 5
strings:
$connect_to_c2 = {
6A ?? 68 ?? ?? ?? ?? 64 A1 ?? ?? ?? ?? 50 83 EC ?? A1 ?? ?? ?? ?? 33 C4 89 44 24 ??
A1 ?? ?? ?? ?? 33 C4 50 8D 44 24 ?? 64 A3 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 15 ?? ?? ??
?? 66 A3 ?? ?? ?? ?? B8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 4C 24 ?? 66 A3 ?? ?? ?? ?? FF
15 ?? ?? ?? ?? 83 7C 24 ?? ?? 8B 44 24 ?? 73 ?? 8D 44 24 ?? 50 FF 15 ?? ?? ?? ?? 6A
?? 6A ?? 6A ?? A3 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 50 A3 ?? ?? ??
?? FF 15 ?? ?? ?? ?? 85 C0 74 ?? 8B 0D ?? ?? ?? ?? 51 FF 15 ?? ?? ?? ?? 83 C8 ?? 8D
4C 24 ?? A3 ?? ?? ?? ?? 89 44 24 ?? FF 15 ?? ?? ?? ?? 32 C0 EB ?? 8D 4C 24 ?? C6 05
?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? FF 15 ?? ?? ?? ?? B0 ?? 8B 4C 24 ?? 64 89 0D
?? ?? ?? ?? 59 8B 4C 24 ?? 33 CC E8 ?? ?? ?? ?? 83 C4 ?? C3
}
$find_files_and_get_file_data_p1 = {
6A ?? 68 ?? ?? ?? ?? 64 A1 ?? ?? ?? ?? 50 B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? A1 ?? ?? ??
?? 33 C4 89 84 24 ?? ?? ?? ?? 53 55 56 57 A1 ?? ?? ?? ?? 33 C4 50 8D 84 24 ?? ?? ??
?? 64 A3 ?? ?? ?? ?? 33 DB 68 ?? ?? ?? ?? 8D 8C 24 ?? ?? ?? ?? 89 9C 24 ?? ?? ?? ??
FF 15 ?? ?? ?? ?? 83 BC 24 ?? ?? ?? ?? ?? 8B 84 24 ?? ?? ?? ?? 73 ?? 8D 84 24 ?? ??
?? ?? 68 ?? ?? ?? ?? 8D 8C 24 ?? ?? ?? ?? 50 8D 84 24 ?? ?? ?? ?? 89 8C 24 ?? ?? ??
?? E8 ?? ?? ?? ?? 8D 54 24 ?? C6 84 24 ?? ?? ?? ?? ?? 8B 8C 24 ?? ?? ?? ?? 52 E8 ??
?? ?? ?? C6 84 24 ?? ?? ?? ?? ?? 8B 84 24 ?? ?? ?? ?? 8D 8C 24 ?? ?? ?? ?? 3B C1 74
?? 50 FF 15 ?? ?? ?? ?? 83 C4 ?? 8B 44 24 ?? 8D 94 24 ?? ?? ?? ?? 52 50 FF 15 ?? ??
?? ?? 89 44 24 ?? 83 F8 ?? 0F 84 ?? ?? ?? ?? 8B 2D ?? ?? ?? ?? F6 84 24 ?? ?? ?? ??
?? 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 8C 24 ?? ?? ?? ?? 53 51 89 9C 24 ?? ?? ?? ??
E8 ?? ?? ?? ?? 8D 94 24 ?? ?? ?? ?? 52 8D 84 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 FF D5
8B 0D ?? ?? ?? ?? 66 8B 15 ?? ?? ?? ?? 83 C4 ?? 33 C0 89 84 24 ?? ?? ?? ?? 89 84 24
?? ?? ?? ?? 89 84 24 ?? ?? ?? ?? 89 84 24 ?? ?? ?? ?? 89 8C 24 ?? ?? ?? ?? 89 84 24
?? ?? ?? ?? 89 84 24 ?? ?? ?? ?? 89 84 24 ?? ?? ?? ?? 66 89 84 24 ?? ?? ?? ?? C7 84
24 ?? ?? ?? ?? ?? ?? ?? ?? 66 89 94 24 ?? ?? ?? ?? 8D 8C 24 ?? ?? ?? ?? 8D 84 24 ??
?? ?? ?? 66 8B 10 66 3B 11 75 ?? 66 3B D3 74 ?? 66 8B 50 ?? 66 3B 51 ?? 75 ?? 83 C0
?? 83 C1 ?? 66 3B D3 75 ?? 33 C0 EB ?? 1B C0 83 D8 ?? 3B C3 0F 84 ?? ?? ?? ?? 8D 8C
}
$find_files_and_get_file_data_p2 = {
24 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 66 8B 10 66 3B 11 75 ?? 66 3B D3 74 ?? 66 8B 50
?? 66 3B 51 ?? 75 ?? 83 C0 ?? 83 C1 ?? 66 3B D3 75 ?? 33 C0 EB ?? 1B C0 83 D8 ?? 3B
C3 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 53 50 89 9C 24 ?? ?? ?? ??
E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 8C 24 ?? ?? ?? ?? 53 51 89 9C 24 ?? ?? ?? ?? E8 ??
?? ?? ?? 8B 54 24 ?? 8B C2 83 C4 ?? 8D 70 ?? EB ?? 8D 49 ?? 66 8B 08 83 C0 ?? 66 3B
CB 75 ?? 2B C6 D1 F8 8D 44 00 ?? 50 52 8D 8C 24 ?? ?? ?? ?? 51 E8 ?? ?? ?? ?? 8D 94
24 ?? ?? ?? ?? 52 8D 84 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 FF D5 8D 8C 24 ?? ?? ?? ??
51 8D 94 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 52 FF D5 83 C4 ?? 8D 44 24 ?? 68 ?? ?? ?? ??
8D 8C 24 ?? ?? ?? ?? 89 44 24 ?? 51 8D 44 24 ?? E8 ?? ?? ?? ?? 8D 54 24 ?? C6 84 24
?? ?? ?? ?? ?? 8B 4C 24 ?? 52 E8 ?? ?? ?? ?? C6 84 24 ?? ?? ?? ?? ?? 8B 44 24 ?? 8D
4C 24 ?? 3B C1 74 ?? 50 FF 15 ?? ?? ?? ?? 83 C4 ?? 8B 54 24 ?? 52 8D 8C 24 ?? ?? ??
?? FF 15 ?? ?? ?? ?? 83 EC ?? 8B CC 89 64 24 ?? 68 ?? ?? ?? ?? C6 84 24 ?? ?? ?? ??
?? FF 15 ?? ?? ?? ?? 8D B4 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B C6 68 ?? ?? ?? ?? 50 FF
15 ?? ?? ?? ?? 83 C4 ?? 84 C0 74 ?? FF 05 ?? ?? ?? ?? 6A ?? FF 15 ?? ?? ?? ?? 68 ??
?? ?? ?? 8D 94 24 ?? ?? ?? ?? 8D 8C 24 ?? ?? ?? ?? 52 8D 84 24 ?? ?? ?? ?? 89 8C 24
?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 44 24 ?? C6 84 24 ?? ?? ?? ?? ?? 8B 8C 24 ?? ?? ?? ??
50 E8 ?? ?? ?? ?? C6 84 24 ?? ?? ?? ?? ?? 8B 84 24 ?? ?? ?? ?? 8D 8C 24
}
$find_files_and_get_file_data_p3 = {
3B C1 74 ?? 50 FF 15 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? 8D 8C 24 ?? ?? ?? ?? FF 15
?? ?? ?? ?? C6 84 24 ?? ?? ?? ?? ?? 8B 54 24 ?? 52 8D 8C 24 ?? ?? ?? ?? FF 15 ?? ??
?? ?? 83 EC ?? 8D 84 24 ?? ?? ?? ?? 8B CC 89 64 24 ?? 50 FF 15 ?? ?? ?? ?? E8 ?? ??
?? ?? 33 C0 0F B7 D0 8B C2 C1 E2 ?? 0B C2 B9 ?? ?? ?? ?? 8D BC 24 ?? ?? ?? ?? F3 AB
83 C4 ?? 8D 8C 24 ?? ?? ?? ?? C6 84 24 ?? ?? ?? ?? ?? FF 15 ?? ?? ?? ?? C6 84 24 ??
?? ?? ?? ?? 8B 44 24 ?? 83 C0 ?? 8D 48 ?? 83 CA ?? F0 0F C1 11 4A 85 D2 7F ?? 8B 08
8B 11 50 8B 42 ?? FF D0 8D 8C 24 ?? ?? ?? ?? C6 84 24 ?? ?? ?? ?? ?? FF 15 ?? ?? ??
?? C6 84 24 ?? ?? ?? ?? ?? 8B 44 24 ?? E9 ?? ?? ?? ?? 8B 84 24 ?? ?? ?? ?? 3B C3 8B
8C 24 ?? ?? ?? ?? 89 4C 24 ?? 89 44 24 ?? 0F 8C ?? ?? ?? ?? 7F ?? 3B CB 0F 86 ?? ??
?? ?? 68 ?? ?? ?? ?? 8D 8C 24 ?? ?? ?? ?? 53 51 89 9C 24 ?? ?? ?? ?? E8 ?? ?? ?? ??
8B 54 24 ?? 8B C2 83 C4 ?? 8D 70 ?? 8D 64 24 ?? 66 8B 08 83 C0 ?? 66 3B CB 75 ?? 2B
C6 D1 F8 8D 44 00 ?? 50 52 8D 8C 24 ?? ?? ?? ?? 51 E8 ?? ?? ?? ?? 8D 84 24 ?? ?? ??
?? 83 C4 ?? 8B D0 8B FF 66 8B 08 83 C0 ?? 66 3B CB 75 ?? 8D BC 24 ?? ?? ?? ?? 2B C2
83 C7 ?? EB ?? 8D A4 24 ?? ?? ?? ?? 66 8B 4F ?? 83 C7 ?? 66 3B CB 75 ?? DF 6C 24 ??
8B C8 C1 E9 ?? 8B F2 DC 05 ?? ?? ?? ?? F3 A5 DD 1D ?? ?? ?? ?? 8B C8 68
}
$find_files_and_get_file_data_p4 = {
8D 84 24 ?? ?? ?? ?? 83 E1 ?? 8D 94 24 ?? ?? ?? ?? 50 8D 84 24 ?? ?? ?? ?? F3 A4 89
94 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 4C 24 ?? C6 84 24 ?? ?? ?? ?? ?? 51 8B 8C 24 ??
?? ?? ?? E8 ?? ?? ?? ?? C6 84 24 ?? ?? ?? ?? ?? 8B 84 24 ?? ?? ?? ?? 8D 94 24 ?? ??
?? ?? 3B C2 74 ?? 50 FF 15 ?? ?? ?? ?? 83 C4 ?? 8B 44 24 ?? 50 8D 8C 24 ?? ?? ?? ??
FF 15 ?? ?? ?? ?? FF 05 ?? ?? ?? ?? 8D 8C 24 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? C6 84 24
?? ?? ?? ?? ?? 8B 44 24 ?? 83 C0 ?? 83 CA ?? 8D 48 ?? F0 0F C1 11 4A 85 D2 7F ?? 8B
08 8B 11 50 8B 42 ?? FF D0 8B 74 24 ?? 8D 8C 24 ?? ?? ?? ?? 51 56 FF 15 ?? ?? ?? ??
85 C0 0F 85 ?? ?? ?? ?? 56 FF 15 ?? ?? ?? ?? 88 9C 24 ?? ?? ?? ?? 8B 44 24 ?? 83 C0
?? 8D 50 ?? 83 C9 ?? F0 0F C1 0A 49 85 C9 7F ?? 8B 08 8B 11 50 8B 42 ?? FF D0 8D 8C
24 ?? ?? ?? ?? C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8B 8C 24 ?? ?? ??
?? 64 89 0D ?? ?? ?? ?? 59 5F 5E 5D 5B 8B 8C 24 ?? ?? ?? ?? 33 CC E8 ?? ?? ?? ?? 81
C4 ?? ?? ?? ?? C3
}
$receive_data_and_write_to_file = {
C7 44 24 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 84 C0 0F 84 ?? ?? ?? ?? 8B 4C 24 ?? 51 E8 ??
?? ?? ?? 8B 7C 24 ?? 8B F0 83 C4 ?? 56 E8 ?? ?? ?? ?? 83 C4 ?? 84 C0 75 ?? 68 ?? ??
?? ?? 8D 8C 24 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 6A ?? 83 EC ?? 8B D4 C7 84 24 ?? ?? ??
?? ?? ?? ?? ?? 89 64 24 ?? 68 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 50 52 FF 15 ?? ?? ??
?? 83 C4 ?? E8 ?? ?? ?? ?? 83 C4 ?? 8D 8C 24 ?? ?? ?? ?? E9 ?? ?? ?? ?? 8B 4C 24 ??
51 56 B9 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8B 54 24 ?? 01 15 ?? ?? ?? ?? 56 E8 ?? ?? ??
?? 83 C4 ?? 6A ?? E8 ?? ?? ?? ?? 83 C4 ?? 84 C0 0F 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D
8C 24 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 6A ?? 83 EC ?? 8B C4 C7 84 24 ?? ?? ?? ?? ?? ??
?? ?? 89 64 24 ?? 68 ?? ?? ?? ?? 8D 8C 24 ?? ?? ?? ?? 51 50 E9
}
$get_system_information = {
6A ?? 68 ?? ?? ?? ?? 64 A1 ?? ?? ?? ?? 50 83 EC ?? A1 ?? ?? ?? ?? 33 C4 89 44 24 ??
53 55 56 57 A1 ?? ?? ?? ?? 33 C4 50 8D 44 24 ?? 64 A3 ?? ?? ?? ?? 8B 1D ?? ?? ?? ??
33 F6 BD ?? ?? ?? ?? 83 CF ?? E8 ?? ?? ?? ?? 66 A1 ?? ?? ?? ?? 8A 0D ?? ?? ?? ?? 66
89 44 24 ?? 88 4C 24 ?? FF 15 ?? ?? ?? ?? 89 44 24 ?? 3B C6 74 ?? 8D 9B ?? ?? ?? ??
A8 ?? 74 ?? 8D 54 24 ?? 52 8D 4C 24 ?? FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 4C 24 ??
89 74 24 ?? FF 15 ?? ?? ?? ?? 8D 44 24 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 4C 24 ?? 89
7C 24 ?? FF 15 ?? ?? ?? ?? 8B 44 24 ?? FE 44 24 ?? D1 E8 89 44 24 ?? 75 ?? 8D 4C 24
?? 51 E8 ?? ?? ?? ?? 8D 54 24 ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 6A ?? FF D3 83 ED ?? 0F
85 ?? ?? ?? ?? 8B 4C 24 ?? 64 89 0D ?? ?? ?? ?? 59 5F 5E 5D 5B 8B 4C 24 ?? 33 CC E8
?? ?? ?? ?? 83 C4 ?? C3
}
condition:
uint16(0) == 0x5A4D and
(
$connect_to_c2
) and
(
all of ($find_files_and_get_file_data_p*)
) and
(
$receive_data_and_write_to_file
) and
(
$get_system_information
)
}