rule crashedtech_loader {
	meta:
		author = "@luc4m"
		date = "2023-03-26"
		hash_md5 = "53f9c2f2f1a755fc04130fd5e9fcaff4"
		link = "https://medium.com/@lcam/updates-from-the-maas-new-threats-delivered-through-nullmixer-d45defc260d1"
		tlp = "WHITE"
	strings:
		$trait_0 = { 02 14 7D ?? ?? ?? ?? 02 28 ?? ?? ?? ?? ?? ?? 02 28 ?? ?? ?? ?? ?? 2A }
		$trait_1 = { ?? 02 7B ?? ?? ?? ?? 6F ?? ?? ?? ?? ?? ?? 02 03 28 ?? ?? ?? ?? ?? 2A }
		$trait_2 = { ?? 28 ?? ?? ?? ?? 72 ?? ?? ?? ?? 7E ?? ?? ?? ?? 6F ?? ?? ?? ?? 0A 2B ?? }
		$trait_4 = { ?? 73 ?? ?? ?? ?? 02 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 0A 2B ?? }
		$trait_5 = { 06 6F ?? ?? ?? ?? ?? DC ?? DE ?? 26 ?? ?? DE ?? 2A }
		$trait_6 = { 11 ?? 6F ?? ?? ?? ?? ?? DC 09 6F ?? ?? ?? ?? 16 FE 01 13 ?? 11 ?? 2C ?? }
		$trait_7 = { 06 6F ?? ?? ?? ?? ?? DC ?? DE ?? 26 ?? ?? DE ?? 2A }
		$trait_8 = { ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 0A 28 ?? ?? ?? ?? 06 6F ?? ?? ?? ?? 0B 2B ?? }
		$str_0 = "username" wide
		$str_1 = "windows" wide
		$str_2 = "client" wide
		$str_3 = "ip" wide
		$str_4 = "api.ipify.org" wide
		$str_5 = "(.*)<>(.*)" wide
	condition:
		5 of ($str_*) and 3 of ($trait_*)
}