reversinglabs-reversinglabs-yara-rules/yara/backdoor/Win64.Backdoor.MiyaRAT.yara

rule Win64_Backdoor_MiyaRAT : tc_detection malicious
{
    meta:

        author              = "ReversingLabs"

        source              = "ReversingLabs"
        status              = "RELEASED"
        sharing             = "TLP:WHITE"
        category            = "MALWARE"
        malware             = "MIYARAT"
        description         = "Yara rule that detects MiyaRAT backdoor."

        tc_detection_type   = "Backdoor"
        tc_detection_name   = "MiyaRAT"
        tc_detection_factor = 5

    strings:

        $get_disk_information_p1 = {
            48 8B C4 48 89 58 ?? 48 89 70 ?? 57 41 54 41 55 41 56 41 57 48 81 EC ?? ?? ?? ?? 0F
            29 70 ?? 0F 29 78 ?? 44 0F 29 40 ?? 48 8B 05 ?? ?? ?? ?? 48 33 C4 48 89 84 24 ?? ??
            ?? ?? 48 8B D9 48 89 8C 24 ?? ?? ?? ?? 48 89 8C 24 ?? ?? ?? ?? 45 33 ED 45 8B E5 44
            89 6C 24 ?? FF 15 ?? ?? ?? ?? 8B F0 89 84 24 ?? ?? ?? ?? 0F 57 C0 0F 11 84 24 ?? ??
            ?? ?? 0F 57 C9 F3 0F 7F 8C 24 ?? ?? ?? ?? 45 33 C0 48 8D 15 ?? ?? ?? ?? 48 8D 8C 24
            ?? ?? ?? ?? E8 ?? ?? ?? ?? 90 85 F6 75 ?? 0F 57 C0 0F 11 03 4C 89 6B ?? 4C 89 6B ??
            41 B8 ?? ?? ?? ?? 48 8D 15 ?? ?? ?? ?? 48 8B CB E8 ?? ?? ?? ?? 90 48 8B 94 24 ?? ??
            ?? ?? 48 83 FA ?? 0F 86 ?? ?? ?? ?? 48 FF C2 48 8B 8C 24 ?? ?? ?? ?? 48 8B C1 48 81
            FA ?? ?? ?? ?? 72 ?? 48 83 C2 ?? 48 8B 49 ?? 48 2B C1 48 83 C0 ?? 48 83 F8 ?? 0F 87
            ?? ?? ?? ?? E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? B0 ?? 48 BF ?? ?? ?? ?? ?? ?? ?? ?? F2 44
            0F 10 05 ?? ?? ?? ?? 88 44 24 ?? 3C ?? 0F 8F ?? ?? ?? ?? 0F BE D0 8D 4A ?? 0F B6 C1
            0F A3 C6 0F 83 ?? ?? ?? ?? 0F 57 C0 0F 11 44 24 ?? 48 C7 44 24 ?? ?? ?? ?? ?? 48 C7
            44 24 ?? ?? ?? ?? ?? 0F B6 C2 88 44 24 ?? C6 44 24 ?? ?? 41 B8 ?? ?? ?? ?? 48 8D 15
            ?? ?? ?? ?? 48 8D 4C 24 ?? E8 ?? ?? ?? ?? 0F 57 C0 0F 11 84 24 ?? ?? ?? ?? 4C 89 AC
            24 ?? ?? ?? ?? 4C 89 AC 24 ?? ?? ?? ?? 0F 10 00 0F 11 84 24 ?? ?? ?? ?? 0F 10 48 ??
            0F 11 8C 24 ?? ?? ?? ?? 4C 89 68 ?? 48 C7 40 ?? ?? ?? ?? ?? C6 00 ?? 41 83 CC ?? 44
            89 64 24 ?? 48 8B 54 24 ?? 48 83 FA ?? 76 ?? 48 FF C2 48 8B 4C 24 ?? 48 8B C1 48 81
            FA ?? ?? ?? ?? 72 ?? 48 83 C2 ?? 48 8B 49 ?? 48 2B C1 48 83 C0 ?? 48 83 F8 ?? 0F 87
            ?? ?? ?? ?? E8 ?? ?? ?? ?? 4C 89 6C 24 ?? 48 C7 44 24 ?? ?? ?? ?? ?? C6 44 24
        }

        $get_disk_information_p2 = {
            48 8D 8C 24 ?? ?? ?? ?? 48 83 BC 24 ?? ?? ?? ?? ?? 48 0F 47 8C 24 ?? ?? ?? ?? FF 15
            ?? ?? ?? ?? 8B D8 48 8D 8C 24 ?? ?? ?? ?? 48 83 BC 24 ?? ?? ?? ?? ?? 48 0F 47 8C 24
            ?? ?? ?? ?? 4C 8D 8C 24 ?? ?? ?? ?? 4C 8D 84 24 ?? ?? ?? ?? 48 8D 94 24 ?? ?? ?? ??
            FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 48 8D 8C 24 ?? ?? ?? ?? 48 83 BC 24 ?? ??
            ?? ?? ?? 48 0F 47 8C 24 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 48 8D 84 24 ?? ?? ?? ??
            48 89 44 24 ?? 48 8D 84 24 ?? ?? ?? ?? 48 89 44 24 ?? 48 8D 84 24 ?? ?? ?? ?? 48 89
            44 24 ?? 4C 8D 8C 24 ?? ?? ?? ?? 41 B8 ?? ?? ?? ?? 48 8D 94 24 ?? ?? ?? ?? FF 15 ??
            ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 48 8B 8C 24 ?? ?? ?? ?? 0F 57 FF 48 85 C9 78 ?? F2
            48 0F 2A F9 EB ?? 48 8B C1 48 D1 E8 83 E1 ?? 48 0B C1 F2 48 0F 2A F8 F2 0F 58 FF F2
            41 0F 59 F8 48 8B 8C 24 ?? ?? ?? ?? 0F 57 F6 48 85 C9 78 ?? F2 48 0F 2A F1 EB ?? 48
            8B C1 48 D1 E8 83 E1 ?? 48 0B C1 F2 48 0F 2A F0 F2 0F 58 F6 F2 41 0F 59 F0 33 D2 41
            B8 ?? ?? ?? ?? 48 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8D 8C 24 ?? ?? ?? ?? E8 ??
            ?? ?? ?? 90 4C 8D 8C 24 ?? ?? ?? ?? 49 FF C9 B8 ?? ?? ?? ?? F7 E3 C1 EA ?? 0F B6 C2
            C0 E0 ?? 8D 0C 10 02 C9 2A D9 80 C3 ?? 41 88 19 8B DA 85 D2 75 ?? 4C 8D 84 24 ?? ??
            ?? ?? 49 8B D1 48 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 41 83 CC ?? 44 89 64 24 ?? 48
        }

        $get_disk_information_p3 = {
            8B B4 24 ?? ?? ?? ?? 48 8B C7 48 2B C6 48 83 F8 ?? 0F 82 ?? ?? ?? ?? 4C 8D BC 24 ??
            ?? ?? ?? 48 83 BC 24 ?? ?? ?? ?? ?? 4C 0F 47 BC 24 ?? ?? ?? ?? 0F 57 C0 0F 11 84 24
            ?? ?? ?? ?? 4C 89 AC 24 ?? ?? ?? ?? 4C 89 AC 24 ?? ?? ?? ?? 4C 8D 76 ?? BF ?? ?? ??
            ?? 48 8D 9C 24 ?? ?? ?? ?? 4C 3B F7 0F 86 ?? ?? ?? ?? 49 8B FE 48 83 CF ?? 48 B8 ??
            ?? ?? ?? ?? ?? ?? ?? 48 3B F8 76 ?? 48 8B F8 48 B8 ?? ?? ?? ?? ?? ?? ?? ?? 48 83 C0
            ?? 48 8B C8 E8 ?? ?? ?? ?? 48 85 C0 0F 84 ?? ?? ?? ?? 48 8D 58 ?? 48 83 E3 ?? 48 89
            43 ?? EB ?? 48 83 FF ?? B8 ?? ?? ?? ?? 48 0F 42 F8 48 8D 4F ?? 48 85 C9 75 ?? 49 8B
            DD EB ?? 48 81 F9 ?? ?? ?? ?? 72 ?? 48 8D 41 ?? 48 3B C1 0F 86 ?? ?? ?? ?? EB ?? E8
            ?? ?? ?? ?? 48 8B D8 48 89 9C 24 ?? ?? ?? ?? 4C 89 B4 24 ?? ?? ?? ?? 48 89 BC 24 ??
            ?? ?? ?? 4C 8B C6 49 8B D7 48 8B CB E8 ?? ?? ?? ?? 66 C7 04 33 ?? ?? 42 C6 04 33 ??
            41 83 CC ?? 44 89 64 24 ?? 4C 8D 8C 24 ?? ?? ?? ?? 4C 8D 84 24 ?? ?? ?? ?? 48 8D 8C
            24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 41 0F BA EC ?? 44 89 64 24 ?? 41 B8 ?? ?? ?? ?? 48 8D
            15 ?? ?? ?? ?? 48 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 0F 57 C0 0F 11 44 24 ?? 4C 89
            6C 24 ?? 4C 89 AC 24 ?? ?? ?? ?? 0F 10 00 0F 11 44 24 ?? 0F 10 48 ?? 0F 11 4C 24 ??
            4C 89 68 ?? 48 C7 40 ?? ?? ?? ?? ?? C6 00 ?? 41 0F BA EC ?? 44 89 64 24 ?? 48 8D 84
            24 ?? ?? ?? ?? 49 C7 C0 ?? ?? ?? ?? 0F 1F 84 00 ?? ?? ?? ?? 49 FF C0 42 80 3C 00
        }

        $get_disk_information_p4 = {
            75 ?? 48 8D 94 24 ?? ?? ?? ?? 48 8D 4C 24 ?? E8 ?? ?? ?? ?? 0F 57 C0 0F 11 84 24 ??
            ?? ?? ?? 4C 89 AC 24 ?? ?? ?? ?? 4C 89 AC 24 ?? ?? ?? ?? 0F 10 00 0F 11 84 24 ?? ??
            ?? ?? 0F 10 48 ?? 0F 11 8C 24 ?? ?? ?? ?? 4C 89 68 ?? 48 C7 40 ?? ?? ?? ?? ?? C6 00
            ?? 41 0F BA EC ?? 44 89 64 24 ?? 41 B8 ?? ?? ?? ?? 48 8D 15 ?? ?? ?? ?? 48 8D 8C 24
            ?? ?? ?? ?? E8 ?? ?? ?? ?? 0F 57 C0 0F 11 44 24 ?? 4C 89 6C 24 ?? 4C 89 6C 24 ?? 0F
            10 00 0F 11 44 24 ?? 0F 10 48 ?? 0F 11 4C 24 ?? 4C 89 68 ?? 48 C7 40 ?? ?? ?? ?? ??
            C6 00 ?? 41 83 CC ?? 44 89 64 24 ?? 48 8D 54 24 ?? 48 83 7C 24 ?? ?? 48 0F 47 54 24
            ?? 4C 8B 44 24 ?? 48 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 90 48 8B 54 24 ?? 48 83 FA
            ?? 76 ?? 48 FF C2 48 8B 4C 24 ?? 48 8B C1 48 81 FA ?? ?? ?? ?? 72 ?? 48 83 C2 ?? 48
            8B 49 ?? 48 2B C1 48 83 C0 ?? 48 83 F8 ?? 0F 87 ?? ?? ?? ?? E8 ?? ?? ?? ?? 4C 89 6C
            24 ?? 48 C7 44 24 ?? ?? ?? ?? ?? C6 44 24 ?? ?? 48 8B 94 24 ?? ?? ?? ?? 48 83 FA ??
            76 ?? 48 FF C2 48 8B 8C 24 ?? ?? ?? ?? 48 8B C1 48 81 FA ?? ?? ?? ?? 72 ?? 48 83 C2
            ?? 48 8B 49 ?? 48 2B C1 48 83 C0 ?? 48 83 F8 ?? 0F 87 ?? ?? ?? ?? E8 ?? ?? ?? ?? 4C
            89 AC 24 ?? ?? ?? ?? 48 C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? C6 84 24 ?? ?? ?? ?? ?? 48
            8B 94 24 ?? ?? ?? ?? 48 83 FA ?? 76 ?? 48 FF C2 48 8B 4C 24 ?? 48 8B C1 48 81 FA ??
            ?? ?? ?? 72 ?? 48 83 C2 ?? 48 8B 49 ?? 48 2B C1 48 83 C0 ?? 48 83 F8 ?? 0F 87 ?? ??
            ?? ?? E8 ?? ?? ?? ?? 4C 89 6C 24 ?? 48 C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? C6 44 24 ??
            ?? 48 8B 94 24 ?? ?? ?? ?? 48 83 FA ?? 76 ?? 48 FF C2 48 8B 8C 24 ?? ?? ?? ?? 48 8B
        }

        $get_disk_information_p5 = {
            C1 48 81 FA ?? ?? ?? ?? 72 ?? 48 83 C2 ?? 48 8B 49 ?? 48 2B C1 48 83 C0 ?? 48 83 F8
            ?? 0F 87 ?? ?? ?? ?? E8 ?? ?? ?? ?? 4C 89 AC 24 ?? ?? ?? ?? 48 C7 84 24 ?? ?? ?? ??
            ?? ?? ?? ?? C6 84 24 ?? ?? ?? ?? ?? 48 8B 94 24 ?? ?? ?? ?? 48 83 FA ?? 76 ?? 48 FF
            C2 48 8B 8C 24 ?? ?? ?? ?? 48 8B C1 48 81 FA ?? ?? ?? ?? 72 ?? 48 83 C2 ?? 48 8B 49
            ?? 48 2B C1 48 83 C0 ?? 48 83 F8 ?? 0F 87 ?? ?? ?? ?? E8 ?? ?? ?? ?? 90 48 8B 94 24
            ?? ?? ?? ?? 48 83 FA ?? 76 ?? 48 FF C2 48 8B 8C 24 ?? ?? ?? ?? 48 8B C1 48 81 FA ??
            ?? ?? ?? 72 ?? 48 83 C2 ?? 48 8B 49 ?? 48 2B C1 48 83 C0 ?? 48 83 F8 ?? 0F 87 ?? ??
            ?? ?? E8 ?? ?? ?? ?? 48 8B 84 24 ?? ?? ?? ?? 48 63 48 ?? 8B 84 0C ?? ?? ?? ?? 0F BA
            F0 ?? 0F BA E8 ?? 89 84 0C ?? ?? ?? ?? BA ?? ?? ?? ?? 48 8D 8C 24 ?? ?? ?? ?? E8 ??
            ?? ?? ?? 48 8B 8C 24 ?? ?? ?? ?? 48 63 51 ?? 48 8D 8C 24 ?? ?? ?? ?? 48 03 CA 48 8B
            50 ?? FF 10 0F 28 CE 48 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8D 15 ?? ?? ?? ?? 48
            8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B 84 24 ?? ?? ?? ?? 48 63 48 ?? 8B 84 0C ??
            ?? ?? ?? 0F BA F0 ?? 0F BA E8 ?? 89 84 0C ?? ?? ?? ?? BA ?? ?? ?? ?? 48 8D 8C 24 ??
            ?? ?? ?? E8 ?? ?? ?? ?? 48 8B 8C 24 ?? ?? ?? ?? 48 63 51 ?? 48 8D 8C 24 ?? ?? ?? ??
            48 03 CA 48 8B 50 ?? FF 10 0F 28 CF 48 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8D 15
            ?? ?? ?? ?? 48 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 90 0F 57 C0 0F 11 44 24 ?? 4D 8B
            CD 4C 89 6C 24 ?? 41 BA ?? ?? ?? ?? 4C 89 94 24 ?? ?? ?? ?? C6 44 24 ?? ?? 41 0F BA
        }

        $get_disk_information_p6 = {
            EC ?? 44 89 64 24 ?? 33 C0 0F 11 84 24 ?? ?? ?? ?? 48 89 84 24 ?? ?? ?? ?? 8B 8C 24
            ?? ?? ?? ?? 8B C1 24 ?? 3C ?? 74 ?? 48 8B 84 24 ?? ?? ?? ?? 4C 8B 00 4D 85 C0 74 ??
            48 8B 84 24 ?? ?? ?? ?? 48 8B 10 4C 3B 84 24 ?? ?? ?? ?? 4C 0F 42 84 24 ?? ?? ?? ??
            4C 2B C2 EB ?? F6 C1 ?? 75 ?? 48 8B 84 24 ?? ?? ?? ?? 48 8B 08 48 85 C9 74 ?? 48 8B
            84 24 ?? ?? ?? ?? 48 8B 10 48 8B 84 24 ?? ?? ?? ?? 4C 63 00 4C 2B C2 4C 03 C1 EB ??
            4C 8B 84 24 ?? ?? ?? ?? 48 8B 94 24 ?? ?? ?? ?? 48 85 D2 74 ?? 48 8D 4C 24 ?? E8 ??
            ?? ?? ?? 4C 8B 94 24 ?? ?? ?? ?? 4C 8B 4C 24 ?? 41 0F BA F4 ?? 41 83 CC ?? 44 89 64
            24 ?? 48 8D 54 24 ?? 49 83 FA ?? 48 0F 47 54 24 ?? 4D 8B C1 48 8D 8C 24 ?? ?? ?? ??
            E8 ?? ?? ?? ?? 90 48 8B 94 24 ?? ?? ?? ?? 48 83 FA ?? 76 ?? 48 FF C2 48 8B 4C 24 ??
            48 8B C1 48 81 FA ?? ?? ?? ?? 72 ?? 48 83 C2 ?? 48 8B 49 ?? 48 2B C1 48 83 C0 ?? 48
            83 F8 ?? 0F 87 ?? ?? ?? ?? E8 ?? ?? ?? ?? 90 48 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ??
            48 BF ?? ?? ?? ?? ?? ?? ?? ?? 48 8B 94 24 ?? ?? ?? ?? 48 83 FA ?? 76 ?? 48 FF C2 48
            8B 8C 24 ?? ?? ?? ?? 48 8B C1 48 81 FA ?? ?? ?? ?? 72 ?? 48 83 C2 ?? 48 8B 49 ?? 48
            2B C1 48 83 C0 ?? 48 83 F8 ?? 0F 87 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B 9C 24 ?? ?? ??
            ?? 0F B6 44 24 ?? FE C0 8B B4 24
        }

        $get_os_information_p1 = {
            48 89 5C 24 ?? 48 89 74 24 ?? 48 89 7C 24 ?? 55 48 8D AC 24 ?? ?? ?? ?? 48 81 EC ??
            ?? ?? ?? 48 8B 05 ?? ?? ?? ?? 48 33 C4 48 89 85 ?? ?? ?? ?? 48 8B F9 48 89 4C 24 ??
            33 F6 89 74 24 ?? 33 D2 41 B8 ?? ?? ?? ?? 48 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8D
            8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 90 48 8D 0D ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 48 85 C0 0F
            84 ?? ?? ?? ?? 48 8D 15 ?? ?? ?? ?? 48 8B C8 FF 15 ?? ?? ?? ?? 48 8B D8 48 85 C0 0F
            84 ?? ?? ?? ?? 33 D2 41 B8 ?? ?? ?? ?? 48 8D 4C 24 ?? E8 ?? ?? ?? ?? C7 44 24 ?? ??
            ?? ?? ?? 48 8D 4C 24 ?? FF D3 85 C0 0F 85 ?? ?? ?? ?? 8B 54 24 ?? 48 8D 8D ?? ?? ??
            ?? E8 ?? ?? ?? ?? 48 8B C8 48 8D 15 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B C8 8B 54 24 ??
            E8 ?? ?? ?? ?? 48 8B C8 48 8D 15 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8D 44 24 ?? 48 89 44
            24 ?? 45 33 C9 45 33 C0 8B 54 24 ?? 8B 4C 24 ?? FF 15 ?? ?? ?? ?? 8B 54 24 ?? 48 8D
            8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B C8 E8 ?? ?? ?? ?? 48 8B C8 8B 54 24 ?? E8 ?? ??
            ?? ?? 48 8B C8 48 8D 15 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B C8 48 8D 54 24 ?? EB ?? 48
        }

        $get_os_information_p2 = {
            8D 15 ?? ?? ?? ?? 48 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 90 0F 57 C0 0F 11 07 48 89 77
            ?? 48 C7 47 ?? ?? ?? ?? ?? 66 89 37 C7 44 24 ?? ?? ?? ?? ?? 48 8B 8D ?? ?? ?? ?? 8B
            C1 24 ?? 3C ?? 74 ?? 48 8B 85 ?? ?? ?? ?? 48 8B 10 48 85 D2 74 ?? 48 8B 85 ?? ?? ??
            ?? 4C 8B 08 48 3B 95 ?? ?? ?? ?? 48 0F 42 95 ?? ?? ?? ?? 49 2B D1 EB ?? F6 C1 ?? 75
            ?? 48 8B 85 ?? ?? ?? ?? 48 8B 08 48 85 C9 74 ?? 48 8B 85 ?? ?? ?? ?? 4C 8B 08 48 8B
            85 ?? ?? ?? ?? 48 63 10 48 03 D2 49 2B D1 48 03 D1 49 8B C1 48 D1 FA 48 85 C0 74 ??
            48 8B CF 48 83 FA ?? 77 ?? 48 89 57 ?? 48 8D 1C 12 4C 8B C3 49 8B D1 E8 ?? ?? ?? ??
            66 89 34 3B EB ?? E8 ?? ?? ?? ?? 90 48 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B C7 48
            8B 8D ?? ?? ?? ?? 48 33 CC E8 ?? ?? ?? ?? 4C 8D 9C 24 ?? ?? ?? ?? 49 8B 5B ?? 49 8B
            73 ?? 49 8B 7B ?? 49 8B E3 5D C3
        }

        $take_screenshot_p1 = {
            48 89 5C 24 ?? 48 89 74 24 ?? 57 41 54 41 55 41 56 41 57 48 81 EC ?? ?? ?? ?? 48 8B
            05 ?? ?? ?? ?? 48 33 C4 48 89 84 24 ?? ?? ?? ?? 8B FA 33 DB 48 8B 05 ?? ?? ?? ?? 48
            89 84 24 ?? ?? ?? ?? 33 C9 FF 15 ?? ?? ?? ?? 4C 8B F8 48 89 84 24 ?? ?? ?? ?? 48 8B
            C8 FF 15 ?? ?? ?? ?? 48 8B F0 48 89 44 24 ?? C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? 41 BC
            ?? ?? ?? ?? 41 BD ?? ?? ?? ?? 4C 8D 84 24 ?? ?? ?? ?? BA ?? ?? ?? ?? 33 C9 FF 15 ??
            ?? ?? ?? 85 C0 74 ?? 44 8B A4 24 ?? ?? ?? ?? 44 8B AC 24 ?? ?? ?? ?? 45 8B C5 41 8B
            D4 49 8B CF FF 15 ?? ?? ?? ?? 48 8B D0 48 8B CE FF 15 ?? ?? ?? ?? 48 89 84 24 ?? ??
            ?? ?? C7 44 24 ?? ?? ?? ?? ?? 89 5C 24 ?? 89 5C 24 ?? 4C 89 7C 24 ?? 44 89 6C 24 ??
            45 8B CC 45 33 C0 33 D2 48 8B CE FF 15 ?? ?? ?? ?? 8B CF 41 0F AF CC B8 ?? ?? ?? ??
            F7 E9 44 8B F2 41 D1 FE 41 8B CE C1 E9 ?? 44 03 F1 41 0F AF FD B8 ?? ?? ?? ?? F7 EF
            8B F2 D1 FE 8B C6 C1 E8 ?? 03 F0 44 8B C6 41 8B D6 49 8B CF FF 15 ?? ?? ?? ?? 4C 8B
            F8 48 8B 8C 24 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 48 8B F8 49 8B D7 48 8B C8 FF 15 ?? ??
            ?? ?? C7 44 24 ?? ?? ?? ?? ?? 44 89 6C 24 ?? 44 89 64 24 ?? 89 5C 24 ?? 89 5C 24 ??
            48 8B 44 24 ?? 48 89 44 24 ?? 89 74 24 ?? 45 8B CE 45 33 C0 33 D2 48 8B CF FF 15 ??
            ?? ?? ?? 0F 57 C0 0F 11 84 24 ?? ?? ?? ?? 0F 11 84 24 ?? ?? ?? ?? 0F 11 84 24 ?? ??
            ?? ?? 0F 11 84 24 ?? ?? ?? ?? 0F 11 84 24 ?? ?? ?? ?? 48 8D 05 ?? ?? ?? ?? 48 89 84
            24 ?? ?? ?? ?? C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? 48 89 9C 24 ?? ?? ?? ?? 89 9C 24 ??
            ?? ?? ?? 48 89 9C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B F8 48 8D 48 ?? FF 15 ?? ?? ??
            ?? FF 47 ?? 48 8D 4F ?? FF 15 ?? ?? ?? ?? 90 4C 89 BC 24 ?? ?? ?? ?? 4C 8D 84 24 ??
            ?? ?? ?? BA ?? ?? ?? ?? 49 8B CF FF 15 ?? ?? ?? ?? 83 F8 ?? 0F 85 ?? ?? ?? ?? C6 84
        }

        $take_screenshot_p2 = {
            24 ?? ?? ?? ?? ?? 8B 8C 24 ?? ?? ?? ?? 89 8C 24 ?? ?? ?? ?? 44 8B 84 24 ?? ?? ?? ??
            45 8B C8 41 F7 D9 45 0F 48 C8 44 89 8C 24 ?? ?? ?? ?? 0F B7 84 24 ?? ?? ?? ?? 89 84
            24 ?? ?? ?? ?? 0F AF C1 83 C0 ?? 99 83 E2 ?? 03 C2 C1 F8 ?? C1 E0 ?? 89 84 24 ?? ??
            ?? ?? 4C 8B 94 24 ?? ?? ?? ?? 4C 89 94 24 ?? ?? ?? ?? 45 85 C0 7E ?? 41 8D 49 ?? 0F
            AF C8 48 63 D1 49 03 D2 48 89 94 24 ?? ?? ?? ?? F7 D8 89 84 24 ?? ?? ?? ?? EB ?? C6
            84 24 ?? ?? ?? ?? ?? 8B 84 24 ?? ?? ?? ?? 89 84 24 ?? ?? ?? ?? 8B 84 24 ?? ?? ?? ??
            89 84 24 ?? ?? ?? ?? 0F B7 84 24 ?? ?? ?? ?? 89 84 24 ?? ?? ?? ?? 89 9C 24 ?? ?? ??
            ?? 48 89 9C 24 ?? ?? ?? ?? C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? C6 84 24 ?? ?? ?? ?? ??
            48 89 9C 24 ?? ?? ?? ?? 4C 8D 84 24 ?? ?? ?? ?? BA ?? ?? ?? ?? 33 C9 FF 15 ?? ?? ??
            ?? 48 8B 94 24 ?? ?? ?? ?? 48 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B 8C 24 ?? ??
            ?? ?? 48 8B 01 45 33 C0 48 8D 94 24 ?? ?? ?? ?? FF 50 ?? 44 8B A4 24 ?? ?? ?? ?? 48
            8B 8C 24 ?? ?? ?? ?? 48 8B 01 45 33 C9 45 33 C0 48 8B D3 FF 50 ?? 41 8B CC E8 ?? ??
            ?? ?? 4C 8B E8 89 9C 24 ?? ?? ?? ?? 48 8B 8C 24 ?? ?? ?? ?? 48 8B 01 4C 8D 8C 24 ??
            ?? ?? ?? 45 8B C4 49 8B D5 FF 50 ?? 4C 8D 8C 24 ?? ?? ?? ?? 45 8B C4 0F 1F 40 ?? 66
            0F 1F 84 00 ?? ?? 00 00 49 FF C9 B8 ?? ?? ?? ?? 41 F7 E0 C1 EA ?? 0F B6 C2 C0 E0 ??
            8D 0C 10 02 C9 44 2A C1 41 80 C0 ?? 45 88 01 44 8B C2 85 D2 75 ?? 4C 8D 84 24 ?? ??
            ?? ?? 49 8B D1 48 8D 4C 24 ?? E8 ?? ?? ?? ?? 90 4C 8B 44 24 ?? 48 8B 8C 24 ?? ?? ??
            ?? 48 8B C1 49 2B C0 4C 8D 35 ?? ?? ?? ?? 48 83 F8 ?? 0F 82 ?? ?? ?? ?? 49 8D 40 ??
            48 89 44 24 ?? 48 8D 7C 24 ?? 48 83 F9 ?? 48 0F 47 7C 24 ?? 48 8D 05 ?? ?? ?? ?? 48
            3B C7 76 ?? 4A 8D 04 07 4C 3B F0 77 ?? BE ?? ?? ?? ?? 49 3B FE 77 ?? 4C 8B FB EB
        }

        $take_screenshot_p3 = {
            4C 8B FF 4D 2B FE EB ?? BE ?? ?? ?? ?? 44 8B FE 48 8D 4F ?? 49 FF C0 48 8B D7 E8 ??
            ?? ?? ?? 4D 8B C7 49 8B D6 48 8B CF E8 ?? ?? ?? ?? 4A 8D 0C 3F 49 2B F7 49 8D 56 ??
            49 03 D7 4C 8B C6 E8 ?? ?? ?? ?? 48 8D 44 24 ?? EB ?? BE ?? ?? ?? ?? 48 89 74 24 ??
            4C 89 74 24 ?? 8B D6 48 8D 4C 24 ?? E8 ?? ?? ?? ?? 0F 57 C0 0F 11 84 24 ?? ?? ?? ??
            48 89 9C 24 ?? ?? ?? ?? 48 89 9C 24 ?? ?? ?? ?? 0F 10 00 0F 11 84 24 ?? ?? ?? ?? 0F
            10 48 ?? 0F 11 8C 24 ?? ?? ?? ?? 48 89 58 ?? 48 C7 40 ?? ?? ?? ?? ?? C6 00 ?? 48 8B
            94 24 ?? ?? ?? ?? 48 83 FA ?? 76 ?? 48 FF C2 48 8B 4C 24 ?? 48 8B C1 48 81 FA ?? ??
            ?? ?? 72 ?? 48 83 C2 ?? 48 8B 49 ?? 48 2B C1 48 83 C0 ?? 48 83 F8 ?? 0F 87 ?? ?? ??
            ?? E8 ?? ?? ?? ?? 48 89 5C 24 ?? 48 C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? C6 44 24 ?? ??
            48 8D 94 24 ?? ?? ?? ?? 48 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B C3 4C 8B 8C 24
            ?? ?? ?? ?? 48 8B 94 24 ?? ?? ?? ?? 4C 8B 84 24 ?? ?? ?? ?? 4D 85 C9 0F 84 ?? ?? ??
            ?? 66 66 66 0F 1F 84 00 ?? ?? 00 00 48 8D 8C 24 ?? ?? ?? ?? 48 83 FA ?? 49 0F 47 C8
            0F BE 0C 01 81 F9 ?? ?? ?? ?? 73 ?? 48 8D 8C 24 ?? ?? ?? ?? 48 83 FA ?? 49 0F 47 C8
            80 3C 01 ?? 74 ?? 48 8D 8C 24 ?? ?? ?? ?? 48 83 FA ?? 49 0F 47 C8 80 3C 01 ?? 74 ??
            48 8D 8C 24 ?? ?? ?? ?? 48 83 FA ?? 49 0F 47 C8 48 8D 94 24 ?? ?? ?? ?? 48 83 BC 24
            ?? ?? ?? ?? ?? 48 0F 47 94 24 ?? ?? ?? ?? 0F B6 0C 01 80 F1 ?? 88 0C 02 48 8B 94 24
            ?? ?? ?? ?? 4C 8B 8C 24 ?? ?? ?? ?? 4C 8B 84 24 ?? ?? ?? ?? 48 FF C0 49 3B C1 0F 82
            ?? ?? ?? ?? 48 83 FA ?? 76 ?? 48 FF C2 49 8B C0 48 81 FA ?? ?? ?? ?? 72 ?? 48 83 C2
            ?? 4D 8B 40 ?? 49 2B C0 48 83 C0 ?? 48 83 F8 ?? 0F 87 ?? ?? ?? ?? 49 8B C8 E8 ?? ??
            ?? ?? 0F 10 84 24 ?? ?? ?? ?? 0F 11 84 24 ?? ?? ?? ?? 0F 10 8C 24 ?? ?? ?? ?? 0F 11
        }

        $take_screenshot_p4 = {
            8C 24 ?? ?? ?? ?? 48 8D 94 24 ?? ?? ?? ?? 66 49 0F 7E C1 66 0F 73 D9 ?? 66 48 0F 7E
            C8 48 83 F8 ?? 49 0F 47 D1 45 33 C9 41 B8 ?? ?? ?? ?? 48 8B 8C 24 ?? ?? ?? ?? FF 15
            ?? ?? ?? ?? B9 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 45 33 C9 45 8B C4 49 8B D5 48 8B 8C 24
            ?? ?? ?? ?? FF 15 ?? ?? ?? ?? B9 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 48 8B 8C 24 ?? ?? ??
            ?? 48 8B 01 FF 50 ?? 49 8B CD E8 ?? ?? ?? ?? 48 8B 94 24 ?? ?? ?? ?? 48 8B 4C 24 ??
            FF 15 ?? ?? ?? ?? 48 8B 8C 24 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 48 8B 4C 24 ?? FF 15 ??
            ?? ?? ?? 48 8B 94 24 ?? ?? ?? ?? 33 C9 FF 15 ?? ?? ?? ?? 90 48 8B 94 24 ?? ?? ?? ??
            48 83 FA ?? 76 ?? 48 FF C2 48 8B 8C 24 ?? ?? ?? ?? 48 8B C1 48 81 FA ?? ?? ?? ?? 72
            ?? 48 83 C2 ?? 48 8B 49 ?? 48 2B C1 48 83 C0 ?? 48 83 F8 ?? 0F 87 ?? ?? ?? ?? E8 ??
            ?? ?? ?? 48 89 9C 24 ?? ?? ?? ?? 48 C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? C6 84 24 ?? ??
            ?? ?? ?? 48 8B 8C 24 ?? ?? ?? ?? 48 85 C9 74 ?? FF 15 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48
            8B F8 48 8D 48 ?? FF 15 ?? ?? ?? ?? 83 6F ?? ?? 75 ?? 48 8D 4F ?? FF 15 ?? ?? ?? ??
            48 8B 0F 48 85 C9 74 ?? FF 15 ?? ?? ?? ?? 48 89 1F 48 8D 4F ?? FF 15 ?? ?? ?? ?? 48
            8D 4F ?? FF 15 ?? ?? ?? ?? 90 48 8B 8C 24 ?? ?? ?? ?? 48 33 CC E8 ?? ?? ?? ?? 4C 8D
            9C 24 ?? ?? ?? ?? 49 8B 5B ?? 49 8B 73 ?? 49 8B E3 41 5F 41 5E 41 5D 41 5C 5F C3
        }

    condition:
        uint16(0) == 0x5A4D and
        (
            all of ($get_disk_information_p*)
        ) and
        (
            all of ($get_os_information_p*)
        ) and
        (
            all of ($take_screenshot_p*)
        )
}