reversinglabs-reversinglabs-yara-rules/yara/backdoor/Linux.Backdoor.WolfsBane.yara

rule Linux_Backdoor_WolfsBane : tc_detection malicious
{
    meta:

        author              = "ReversingLabs"

        source              = "ReversingLabs"
        status              = "RELEASED"
        sharing             = "TLP:WHITE"
        category            = "MALWARE"
        malware             = "WOLFSBANE"
        description         = "Yara rule that detects WolfsBane backdoor."

        tc_detection_type   = "Backdoor"
        tc_detection_name   = "WolfsBane"
        tc_detection_factor = 5

    strings:

        $load_embedded_library = {
            41 57 41 56 41 55 41 54 49 89 FC 55 53 48 89 F3 48 83 EC ?? 48 8B 05 ?? ?? ?? ?? 48
            C7 47 ?? ?? ?? ?? ?? C7 47 ?? ?? ?? ?? ?? 48 C7 47 ?? ?? ?? ?? ?? 48 C7 47 ?? ?? ??
            ?? ?? C7 47 ?? ?? ?? ?? ?? 48 83 C0 ?? 48 C7 47 ?? ?? ?? ?? ?? 48 89 07 48 8D 47 ??
            48 89 47 ?? 48 89 47 ?? 48 8D 47 ?? 48 89 47 ?? 48 89 47 ?? 48 8B 06 48 39 46 ?? 0F
            84 ?? ?? ?? ?? 4C 8B 3D ?? ?? ?? ?? BF ?? ?? ?? ?? 49 89 E5 49 8D 47 ?? 48 89 44 24
            ?? E8 ?? ?? ?? ?? 48 8B 15 ?? ?? ?? ?? 48 89 58 ?? 48 8B 1D ?? ?? ?? ?? 48 C7 40 ??
            ?? ?? ?? ?? C7 40 ?? ?? ?? ?? ?? 48 89 44 24 ?? 48 83 C2 ?? 48 89 44 24 ?? 48 C7 44
            24 ?? ?? ?? ?? ?? 48 89 10 48 8D 43 ?? 48 C7 44 24 ?? ?? ?? ?? ?? 48 C7 44 24 ?? ??
            ?? ?? ?? 48 89 04 24 48 8D 43 ?? 48 89 44 24 ?? 48 89 E0 48 03 03 48 8B 50 ?? 48 39
            50 ?? 0F 84 ?? ?? ?? ?? 48 8B 05 ?? ?? ?? ?? 4C 8D 74 24 ?? 48 8D 54 24 ?? 4C 89 F7
            48 8B 70 ?? 31 C0 80 3E ?? 0F 94 C0 48 01 C6 E8 ?? ?? ?? ?? 48 8B 04 24 4C 89 ED 48
            03 68 ?? 48 8B 7D ?? 48 3B 7D ?? 0F 84 ?? ?? ?? ?? 48 85 FF 0F 84 ?? ?? ?? ?? 4C 89
            F6 E8 ?? ?? ?? ?? 48 8B 45 ?? 48 83 C0 ?? 48 89 45 ?? 4C 89 F7 E8 ?? ?? ?? ?? 48 8D
            43 ?? 48 8B 7C 24 ?? 48 89 04 24 49 8D 47 ?? 48 85 FF 48 89 44 24 ?? 74 ?? 48 8B 07
            FF 50 ?? 48 8B 6C 24 ?? 48 8B 5C 24 ?? 48 39 DD 74 ?? 66 0F 1F 44 00 ?? 48 89 DF E8
            ?? ?? ?? ?? 48 83 C3 ?? 48 39 DD 75 ?? 48 8B 6C 24 ?? 48 85 ED 74 ?? 48 89 EF E8 ??
            ?? ?? ?? 48 83 C4 ?? 4C 89 E0 5B 5D 41 5C 41 5D 41 5E 41 5F C3
        }

        $decrypt_embedded_library_1 = {
            41 57 41 56 41 55 41 54 55 48 89 F5 53 48 89 FB 48 81 EC ?? ?? ?? ?? 48 8B 77 ?? 48
            8D 84 24 ?? ?? ?? ?? 48 8D 94 24 ?? ?? ?? ?? 48 89 C7 48 89 44 24 ?? E8 ?? ?? ?? ??
            48 8B 84 24 ?? ?? ?? ?? 48 83 78 ?? ?? 0F 84 ?? ?? ?? ?? 48 8B 45 ?? 48 39 45 ?? 0F
            84 ?? ?? ?? ?? 4C 8D A4 24 ?? ?? ?? ?? 48 8D 94 24 ?? ?? ?? ?? 48 8D 35 ?? ?? ?? ??
            4C 89 E7 E8 ?? ?? ?? ?? 48 8D 84 24 ?? ?? ?? ?? 48 8B 74 24 ?? 4C 89 E2 48 89 C7 48
            89 44 24 ?? E8 ?? ?? ?? ?? 4C 89 E7 E8 ?? ?? ?? ?? 48 8B 84 24 ?? ?? ?? ?? 48 39 84
            24 ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 48 8B 05 ?? ?? ?? ?? 48 8B 15 ?? ?? ?? ?? 4C 8D BC
            24 ?? ?? ?? ?? 48 C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? 48 C7 84 24 ?? ?? ?? ?? ?? ?? ??
            ?? 48 C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? 48 83 C0 ?? 48 83 C2 ?? 48 89 84 24 ?? ?? ??
            ?? 48 89 84 24 ?? ?? ?? ?? 48 89 84 24 ?? ?? ?? ?? 4C 8B 23 48 89 94 24 ?? ?? ?? ??
            4C 89 E7 E8 ?? ?? ?? ?? 49 8D 7F ?? 48 89 C2 4C 89 E6 E8 ?? ?? ?? ?? 4C 8B 63 ?? 4C
            89 E7 E8 ?? ?? ?? ?? 49 8D 7F ?? 48 89 C2 4C 89 E6 E8 ?? ?? ?? ?? 48 8B 5B ?? 48 89
            DF E8 ?? ?? ?? ?? 49 8D 7F ?? 48 89 C2 48 89 DE E8 ?? ?? ?? ?? 49 8D 7F ?? 48 89 EE
            E8 ?? ?? ?? ?? 48 8D 9C 24 ?? ?? ?? ?? 48 8D 84 24 ?? ?? ?? ?? 4C 89 FE 48 C7 84 24
            ?? ?? ?? ?? ?? ?? ?? ?? 48 C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? 48 89 DF 48 C7 84 24 ??
            ?? ?? ?? ?? ?? ?? ?? 48 89 44 24 ?? E8 ?? ?? ?? ?? 48 8D 84 24 ?? ?? ?? ?? 48 89 DE
            48 89 C7 48 89 44 24 ?? E8 ?? ?? ?? ?? 48 8B BC 24 ?? ?? ?? ?? 48 85 FF 74 ?? E8 ??
            ?? ?? ?? 48 8D 84 24 ?? ?? ?? ?? 48 8D 94 24 ?? ?? ?? ?? 48 8D 35 ?? ?? ?? ?? 48 89
            C7 48 89 44 24 ?? E8 ?? ?? ?? ?? 48 8D 84 24 ?? ?? ?? ?? 48 89 C7 48 89 44 24 ?? E8
        }


        $decrypt_embedded_library_2 = {
            48 8D 7C 24 ?? 49 89 F9 0F 1F 84 00 ?? ?? ?? ?? 89 CA 89 C8 83 C1 ?? C1 FA ?? F7 FB
            48 63 D2 0F B6 04 16 41 88 01 49 83 C1 ?? 81 F9 ?? ?? ?? ?? 75 ?? 48 8D B5 ?? ?? ??
            ?? 48 89 E8 31 D2 66 90 0F B6 18 44 0F B6 0F 48 83 C7 ?? 0F B6 CB 41 8D 0C 09 8D 14
            11 41 89 D3 41 C1 FB ?? 41 C1 EB ?? 44 01 DA 81 E2 ?? ?? ?? ?? 44 29 DA 48 63 CA 83
            C2 ?? 44 0F B6 8C 0C ?? ?? ?? ?? 44 88 08 48 83 C0 ?? 88 9C 0C ?? ?? ?? ?? 48 39 F0
            75 ?? 4D 29 C2 45 85 D2 0F 8E ?? ?? ?? ?? 41 83 EA ?? 31 C0 31 D2 4F 8D 54 10 ?? 66
            0F 1F 84 00 ?? ?? 00 00 83 C2 ?? 89 D1 C1 F9 ?? C1 E9 ?? 01 CA 81 E2 ?? ?? ?? ?? 29
            CA 48 63 CA 83 C2 ?? 0F B6 BC 0C ?? ?? ?? ?? 40 0F B6 DF 8D 04 03 89 C6 C1 FE ?? C1
            EE ?? 01 F0 25 ?? ?? ?? ?? 29 F0 48 63 F0 83 C0 ?? 44 0F B6 8C 34 ?? ?? ?? ?? 44 88
            8C 0C ?? ?? ?? ?? 40 88 BC 34 ?? ?? ?? ?? 02 9C 0C ?? ?? ?? ?? 0F B6 DB 0F B6 8C 1C
            ?? ?? ?? ?? 41 30 08 49 83 C0 ?? 4D 39 D0 75 ?? B9 ?? ?? ?? ?? 31 C0 48 89 EF F3 48
            AB 48 8B BC 24 ?? ?? ?? ?? 48 85 FF 74 ?? E8 ?? ?? ?? ?? 48 8B B4 24 ?? ?? ?? ?? 48
            8B 7C 24 ?? E8 ?? ?? ?? ?? 48 8B 7C 24 ?? E8 ?? ?? ?? ?? 48 8B BC 24 ?? ?? ?? ?? 48
            8B 84 24 ?? ?? ?? ?? 48 29 F8 48 C1 F8 ?? 48 83 F8 ?? 74 ?? 48 8B BC 24 ?? ?? ?? ??
            48 85 FF 74 ?? E8 ?? ?? ?? ?? 4C 89 FF E8 ?? ?? ?? ?? 48 8B 7C 24 ?? E8 ?? ?? ?? ??
            48 8B 7C 24 ?? E8 ?? ?? ?? ?? 48 81 C4 ?? ?? ?? ?? 5B 5D 41 5C 41 5D 41 5E 41 5F C3
        }

        $remove_backdoor_p1 = {
            41 57 48 8D 35 ?? ?? ?? ?? 41 56 41 55 41 54 55 53 48 81 EC ?? ?? ?? ?? 48 8D AC 24
            ?? ?? ?? ?? 48 8D 94 24 ?? ?? ?? ?? 48 89 EF E8 ?? ?? ?? ?? 48 8D 9C 24 ?? ?? ?? ??
            48 89 DF E8 ?? ?? ?? ?? 48 89 EE 48 89 DF E8 ?? ?? ?? ?? 48 8D 94 24 ?? ?? ?? ?? 48
            89 C6 48 89 D7 48 89 54 24 ?? E8 ?? ?? ?? ?? 48 8B B4 24 ?? ?? ?? ?? 48 89 DF E8 ??
            ?? ?? ?? 48 89 EF E8 ?? ?? ?? ?? 4C 8B 35 ?? ?? ?? ?? 48 8D AC 24 ?? ?? ?? ?? 48 89
            EF 49 8D 76 ?? E8 ?? ?? ?? ?? 48 8D 9C 24 ?? ?? ?? ?? 48 89 EE 48 89 DF E8 ?? ?? ??
            ?? 48 8D 84 24 ?? ?? ?? ?? 48 89 DE 48 89 C7 48 89 44 24 ?? E8 ?? ?? ?? ?? 48 89 DF
            E8 ?? ?? ?? ?? 48 89 EF E8 ?? ?? ?? ?? 48 8B 84 24 ?? ?? ?? ?? 48 2B 84 24 ?? ?? ??
            ?? C7 44 24 ?? ?? ?? ?? ?? 48 83 F8 ?? 0F 84 ?? ?? ?? ?? 48 8D AC 24 ?? ?? ?? ?? 49
            8D 76 ?? 48 89 EF E8 ?? ?? ?? ?? 48 8D 9C 24 ?? ?? ?? ?? 48 89 EE 48 89 DF E8 ?? ??
            ?? ?? 4C 8D A4 24 ?? ?? ?? ?? 48 89 DE 4C 89 E7 E8 ?? ?? ?? ?? 48 8B 7C 24 ?? 4C 89
            E6 E8 ?? ?? ?? ?? 48 8B BC 24 ?? ?? ?? ?? 48 85 FF 74 ?? E8 ?? ?? ?? ?? 48 89 DF E8
            ?? ?? ?? ?? 48 89 EF E8 ?? ?? ?? ?? 48 8B 84 24 ?? ?? ?? ?? 48 2B 84 24
        }

        $remove_backdoor_p2 = {
            45 31 FF 48 83 F8 ?? 0F 84 ?? ?? ?? ?? 4C 8D A4 24 ?? ?? ?? ?? 48 8D 94 24 ?? ?? ??
            ?? 48 8D 35 ?? ?? ?? ?? 4C 89 E7 E8 ?? ?? ?? ?? 48 8D AC 24 ?? ?? ?? ?? 48 8D 94 24
            ?? ?? ?? ?? 48 8D 35 ?? ?? ?? ?? 48 89 EF E8 ?? ?? ?? ?? 48 8D 9C 24 ?? ?? ?? ?? 48
            89 DF E8 ?? ?? ?? ?? 48 89 EE 48 89 DF E8 ?? ?? ?? ?? 4C 8D AC 24 ?? ?? ?? ?? 4C 89
            E2 48 89 C6 4C 89 EF E8 ?? ?? ?? ?? 48 8B B4 24 ?? ?? ?? ?? 48 89 DF E8 ?? ?? ?? ??
            48 89 EF E8 ?? ?? ?? ?? 4C 89 E7 E8 ?? ?? ?? ?? 48 8B BC 24 ?? ?? ?? ?? 48 8B 84 24
            ?? ?? ?? ?? 48 29 F8 48 C1 F8 ?? 48 83 F8 ?? 0F 84 ?? ?? ?? ?? 41 8B 06 85 C0 0F 84
            ?? ?? ?? ?? 48 8D 5C 24 ?? 31 C0 B9 ?? ?? ?? ?? 45 85 FF 48 89 DF F3 48 AB 0F 85 ??
            ?? ?? ?? 44 8B 7C 24 ?? 45 85 FF 74 ?? 31 C0 B9 ?? ?? ?? ?? 48 89 DF F3 48 AB 8B 54
            24 ?? 48 8D 35 ?? ?? ?? ?? 48 89 DF E8 ?? ?? ?? ?? 48 89 DF E8 ?? ?? ?? ?? 4C 89 EF
            E8 ?? ?? ?? ?? 48 8B BC 24 ?? ?? ?? ?? 48 85 FF 74 ?? E8 ?? ?? ?? ?? 48 8B 7C 24 ??
            E8 ?? ?? ?? ?? 48 81 C4 ?? ?? ?? ?? 5B 5D 41 5C 41 5D 41 5E 41 5F C3
        }

    condition:
        uint32(0) == 0x464C457F and
        (
            $load_embedded_library
        ) and
        (
            all of ($decrypt_embedded_library_*)
        ) and
        (
            all of ($remove_backdoor_p*)
        )
}