A106-440

A102-576

A102-797

A102-788

A102-790

A102-792

A102-794

A105-313

A103-613

A101-389

A107-018

A107-043

A103-167

A103-169

A107-009

A107-012

A101-887

A102-573

A102-662

A105-426

A105-428

A102-663

A107-023

A106-009

A106-547

A102-579

A102-581

A106-997

A107-035

A107-039

A107-032

A107-014

A107-036

A103-626

A107-007

A105-030

A107-002

A107-004

A107-005

A105-143

A105-350

A107-021

A107-040

A107-025

A107-017

A104-979

A105-015

A106-010

A106-992

A106-371

UNC1908

c:\\users\\user\\desktop\\imageagent\\imageagent\\preagent\\src\\builder\\agent.pdb

APT28

https://artikrh.github.io/posts/weevely-backdoor-analysis

rule M_APT_Downloader_BACKORDER_1 {
	meta:
		author = "Mandiant"
		description = "This rule is designed to detect on events related to BACKORDER. BACKORDER is a downloader written in GoLang which 
download and executes a second stage payload from a remote server. BACKORDER is usually delivered within trojanized installer files and is hard 
coded to execute the original setup executable."
	strings:
		$go = "Go build ID:" ascii wide
		$a1 = "main.proc1esar"
		$a2 = "main.obt_zip"
		$a3 = "main.un1_zip"
		$a4 = "main.primer1_paso"
	condition:
		uint16(0) == 0x5a4d and filesize < 10MB and all of them
}

rule M_APT_Disrupt_NIKOWIPER_1 {
	meta:
		author = "Mandiant"
		description = "Detects code in NIKOWIPER"
	strings:
		$ = "SDelete"
		$ = "-accepteula -r -s -q " wide
		$ = { 68 ?? ?? 02 00 68 }
	condition:
		uint16(0) == 0x5a4d and filesize < 2MB and all of them
}

rule M_APT_Disrupt_NIKOWIPER_MBR_1 {
	meta:
		author = "Mandiant"
		description = "Detects code in NIKOWIPER.MBR"
	strings:
		$ = { FF 37 FF 15 [4] 8B 4D F8 }
		$ = { 69 C0 60 EA 00 00 50 FF 15 }
		$ = { 8D 85 90 FB FF FF 68 00 02 00 00 50 E8 }
		$ = { 68 ?? ?? 02 00 68 [4] 56 FF 15 }
		$ = { 68 00 00 07 00 57 FF D0 }
		$ = { 8B B5 9C FB FF FF C1 E6 04 }
	condition:
		uint16(0) == 0x5a4d and filesize < 2MB and all of them
}

rule M_Hunting_REGEORG_Tunneller_Generic_1 {
	meta:
		author = "Mandiant"
	strings:
		$s1 = "System.Net.IPEndPoint"
		$s2 = "Response.AddHeader"
		$s3 = "Request.InputStream.Read"
		$s4 = "Request.Headers.Get"
		$s5 = "Response.Write"
		$s6 = "System.Buffer.BlockCopy"
		$s7 = "Response.BinaryWrite"
		$s8 = "SocketException soex"
	condition:
		filesize < 1MB and 7 of them
}

rule M_APT_Dropper_NEWRETURN_2 {
	meta:
		author = "Mandiant"
		description = "Detects strings in the NEWRETURN payloads"
	strings:
		$a1 = "GetLists"
		$a2 = "GetBuffer"
		$a3 = "Delays"
		$a4 = "InvokeMember"
		$a5 = "Array"
		$o1 = { 1F 8B 08 00 00 00 00 00 04 00 }
		$o2 = "http://"
		$a6 = "Form1"
		$a7 = "mscoree.dll"
	condition:
		all of ($a*) and ($o1 or $o2)
}

rule M_APT_Backdoor_SPAREPART_SleepGenerator {
	meta:
		author = "Mandiant"
		description = "Detects the algorithm used to determine the next sleep timer"
	strings:
		$ = { C1 E8 06 89 [5] C1 E8 02 8B }
		$ = { C1 E9 03 33 C1 [3] C1 E9 05 33 C1 83 E0 01 }
		$ = { 8B 80 FC 00 00 00 }
		$ = { D1 E8 [4] C1 E1 0F 0B C1 }
	condition:
		all of them
}

rule M_APT_Backdoor_QUICKTOW_2 {
	meta:
		author = "Mandiant"
		description = "Function names matching QUICKTOW"
	strings:
		$go = "Go build" ascii wide
		$str1 = "main.(*Client).Auth" ascii wide
		$str2 = "main.(*Client).Disconnect" ascii wide
		$str3 = "main.(*Client).Disconnect.func1" ascii wide
		$str4 = "main.(*Client).IsDisconnected" ascii wide
		$str5 = "main.(*Client).MakeMessage" ascii wide
		$str6 = "main.(*Client).NewErgoClientSessions" ascii wide
		$str7 = "main.(*Client).NewHTTPHandler" ascii wide
		$str8 = "main.(*Client).NewSession" ascii wide
		$str9 = "main.(*Client).ProcessingMessages" ascii wide
		$str10 = "main.(*Client).RandomSleep" ascii wide
		$str11 = "main.(*Client).SetDisconnected" ascii wide
		$str12 = "main.(*Client).getDelay" ascii wide
		$str13 = "main.(*Client).getMessagesFromServer" ascii wide
		$str14 = "main.(*Client).getOneMessageFromServer" ascii wide
		$str15 = "main.(*Client).setDelay" ascii wide
		$str16 = "main.(*ErgoHTTPHandler).Lock" ascii wide
		$str17 = "main.(*ErgoHTTPHandler).Unlock" ascii wide
		$str18 = "main.(*ErgoHTTPHandler).doRequest" ascii wide
		$str19 = "main.(*Session).IsAlive" ascii wide
		$str20 = "main.(*Session).Lock" ascii wide
		$str21 = "main.(*Session).MakeMessage" ascii wide
		$str22 = "main.(*Session).ResetAlive" ascii wide
		$str23 = "main.(*Session).SetAlive" ascii wide
		$str24 = "main.(*Session).Unlock" ascii wide
		$str25 = "main.(*Session).getDelay" ascii wide
		$str26 = "main.(*Session).getMessagesForSession" ascii wide
		$str27 = "main.(*Session).getOneMessageForSession" ascii wide
		$str28 = "main.(*Session).handle" ascii wide
		$str29 = "main.(*Session).handle.func1" ascii wide
		$str30 = "main.(*Session).processingMessage" ascii wide
		$str31 = "main.(*Session).setDelay" ascii wide
		$str32 = "main.(*Sessions).Add" ascii wide
		$str33 = "main.(*Sessions).Range" ascii wide
		$str34 = "main.GetHash" ascii wide
		$str35 = "main.NewAddress" ascii wide
		$str36 = "main.NewClient" ascii wide
	condition:
		(uint16(0) == 0x5a4d or uint16(0) == 0x457f) and filesize < 20MB and $go and 30 of ($str*)
}

rule M_APT_Backdoor_EARLYBLOOM_2 {
	meta:
		author = "Mandiant"
		description = "Hunting rule looking for EARLYBLOOM, a backdoor written in C++ that communicates over HTTPS."
	strings:
		$a1 = "bsd.bst" xor
		$a2 = "bat.bdt" xor
		$a3 = "chkdsk.exe" xor
		$a4 = "Windows check disk" xor
		$a5 = "https://" xor
	condition:
		uint16(0) == 0x5a4d and uint32(uint32(0x3C)) == 0x00004550 and filesize < 300KB and 3 of ($a*)
}

rule M_Hunting_TANKTRAP_PS1_1 {
	meta:
		author = "Mandiant"
		description = "Strings associated TANKTRAP PowerShell"
	strings:
		$s1 = "ImmediateTaskV2 clsid = \"{9756B581-76EC-4169-9AFC-0CA8D43ADB5F}\""
		$s2 = "SharpGPOAbuse"
		$s3 = "GuidExtension \"AADCED64-746C-4633-A97C-D61349046527\""
		$s4 = "ImmediateTaskV2 clsid = \"\"{9756B581-76EC-4169-9AFC-0CA8D43ADB5F}\""
	condition:
		filesize < 5MB and 3 of them
}

rule M_APT_Launcher_ARGUEPATCH_2 {
	meta:
		description = "To detect executable with patched function used to load encrypted shellcode"
		author = "Mandiant"
	strings:
		$xor_loop = { 8A 01 33 D2 8B 7D ?? 32 04 57 42 88 01 83 FA 10 72 F2 FF 4D ?? 41 39 5D ?? 75 E5 }
	condition:
		(uint16(0) == 0x5A4D and uint32(uint32(0x3C)) == 0x00004550) and $xor_loop
}

rule M_APT_Dropper_FREETOW_1 {
	meta:
		author = "Mandiant"
	strings:
		$hex49_add_arg_check = { 83 C1 49 88 08 FF D0 }
		$shell32_stack_string = { C7 ( 41 | 42 | 43 | 45 | 46 | 47 ) ?? 73 68 65 6C C7 ( 41 | 42 | 43 | 45 | 46 | 47 ) ?? 6C 33 32 2E C7 ( 41 | 42 | 43 | 45 | 46 | 47 ) ?? 64 6C 6C 00 }
	condition:
		filesize < 5MB and all of them
}

rule M_APT_Dropper_FREETOW_3 {
	meta:
		author = "Mandiant"
	strings:
		$func_args1 = { 6A 40 68 00 10 00 00 6A 10 6A 00 }
		$func_args2 = { 6A 40 68 00 10 00 00 68 00 00 40 00 6A 00 }
	condition:
		all of them
}

rule M_APT_Worm_Win32_ITCHYSPARK_1 {
	meta:
		author = "Mandiant"
		description = "Looking for ITCHYSPARK samples based on opcode patterns observed on relevant functions."
	strings:
		$b1 = { 5? 5? 8B ?? 8B [2] 2B ?? C1 ?? 02 8D [2] 8D [2] 8D [2] 85 ?? 7? ?? 8B ?? 8D [2] 8B ?? 33 ?? 8B ?? 4? 89 ?? 8D ?? 85 ?? 7? ?? 8B ?? 81 ?? A3 B1 29 4A 5? 5? 5? C3 }
		$b2 = { 6A 01 5? 6A 00 FF ?? 83 F8 ?? 0F 8? [4] 8B [2] E8 [4] 8B ?? 85 ?? 0F 8? [4] 6A 01 8D [2] 5? 5? FF ?? 85 C0 0F 8? [4] 33 ?? 89 [2] 39 ?? 0F 8? [4] 8D [2] 89 [2] 83 [2] 02 0F 8? [4] 83 [2] 04 0F 8? }
		$b3 = { 5? 5? 5? 68 AE 00 00 00 6A 02 89 [2] 89 [2] FF ?? 83 ?? 6F 0F 8? [4] 8B [2] E8 [4] 8B ?? 89 [2] 85 ?? 0F 8? [4] 8D [2] 5? 5? 6A 00 68 AE 00 00 00 6A 02 FF ?? 85 ?? 0F 8? }
		$b4 = { 5? 6A 65 5? 89 [2] FF 15 [4] 85 C0 0F 8? [4] 8B [2] 85 C0 0F 8? [4] [4-12] 85 ?? 0F 8? [4] 81 ?? F4 01 00 00 7? }
	condition:
		(uint16(0) == 0x5A4D and uint32(uint32(0x3C)) == 0x00004550) and all of them
}

rule M_APT_Tunneler_GOGETTER_1 {
	meta:
		author = "Mandiant"
		description = "Hunting for GOGETTER ELF files."
	strings:
		$g1 = "go.buildid"
		$g2 = "Go build ID:"
		$g3 = "Go buildinf:"
		$proxy1 = "proxy/pkg/client.(*Client)"
		$proxy2 = "proxy/pkg/"
		$yamux = "hashicorp/yamux"
	condition:
		filesize < 25MB and uint32(0) == 0x464c457f and any of ($g*) and all of ($proxy*) and $yamux
}

rule M_APT_Tunneler_GOGETTER_3 {
	meta:
		author = "Mandiant"
	strings:
		$sb1 = { 48 C7 ?? 24 [4] 00 10 00 00 48 C7 ?? 24 [4] 00 10 00 00 48 8D 15 [4] 48 89 ?? 24 [4] 48 8B ?? 24 ?? 48 89 ?? 24 [4] 48 C7 ?? 24 [4] FF FF FF FF 48 C7 ?? 24 [4] FF FF FF FF [32-150] 48 8D ?? 24 [4] 0F 1F 40 00 E8 [4] 48 8? ?? 0F 85 [4] 48 89 ?? 24 ?? 48 89 ?? 24 ?? 48 89 D9 48 89 C3 48 8D 44 24 ?? E8 [4] 48 89 ?? 24 ?? 48 89 ?? 24 ?? E8 [4] 48 8B 4C 24 ?? 0F 1F 40 00 48 3? ?? 7? ?? 48 8? ?? 48 8B 44 24 ?? E8 [4] 84 C0 }
	condition:
		(uint16(0) == 0x5A4D) and (uint32(uint32(0x3C)) == 0x00004550) and (uint16(uint32(0x3C) + 0x18) == 0x020B) and all of them
}

rule M_APT_Disrupt_NEARTWIST_1 {
	meta:
		author = "Mandiant"
	strings:
		$mersenne_alg = { D1 EA 83 E1 01 69 C9 DF B0 08 99 33 CA }
		$s1 = "PhysicalDrive" wide fullword
		$wipe_drive = { 6A 00 6A 00 6A 03 6A 00 6A 03 68 00 00 00 C0 [0-32] FF 15 [4-64] 5? 6A 00 6A 00 6A 00 6A 00 68 18 00 09 00 5? FF 15 [4-256] 68 00 00 01 00 [0-32] FF 15 }
		$wipe_file = { 6A 00 6A 00 6A 03 6A 00 6A 03 68 00 00 00 C0 [0-32] FF 15 [4-64] 5? 5? FF 15 [4-32] 6A 00 68 00 00 01 00 5? 5? E8 }
	condition:
		(uint16(0) == 0x5A4D) and (uint32(uint32(0x3C)) == 0x00004550) and all of them
}

rule M_APT_Wiper_Win_NEARTWIST_1 {
	meta:
		author = "Mandiant"
		description = "Looking for NEARTWIST samples based on strings, imports, and constants for Mersenne Twister / ISAAC PRNG."
	strings:
		$b1 = { 65 89 07 6C }
		$b2 = { AD 58 3A FF }
		$b3 = { 8C DF FF FF }
		$i1 = "GetTickCount"
		$i2 = "DeviceIoControl"
		$i3 = "GetLogicalDrives"
		$i4 = "FindFirstFile"
		$i5 = "FindNextFile"
		$i6 = "WriteFile"
		$i7 = "GetDiskFreeSpaceEx"
		$i8 = "CreateThread"
		$i9 = "GetWindowsDirectory"
		$i10 = "GetTempFileName"
		$n1 = "Cleaner.exe" ascii wide fullword
		$n2 = "Cleaner.dll" ascii wide fullword
		$s1 = "PhysicalDrive" ascii wide fullword
		$s2 = "\\\\.\\" ascii wide fullword
		$s3 = "*.*" ascii wide fullword
		$s4 = "Tmf" ascii wide fullword
		$s5 = "Tmd" ascii wide fullword
	condition:
		(uint16(0) == 0x5A4D and uint32(uint32(0x3C)) == 0x00004550) and any of ($n*) and all of ($s*) and all of ($i*) and all of ($b*)
}

rule M_APT_Disrupt_PARTYTICKET_2 {
	meta:
		author = "Mandiant"
		description = "Looking for PARTYTICKET samples via opcode patterns observed on relevant functions."
	strings:
		$b1 = { 48 83 F8 1B 0F 8D [4] 48 89 [3] 48 89 [3] 48 89 [3] 48 8D 35 [4] 0F B6 3C 06 81 FF 80 00 00 00 0F 8? [4] 48 FF C0 [16-32] E8 [16-64] E8 [8-32] E8 [4] 48 8B 44 24 ?? 48 85 C0 7? ?? [8-24] E9 }
		$b2 = { 48 83 F8 37 0F 8D [24-32] E8 [16-32] E8 [16-32] 48 C1 E? 04 [8-16] 7? ?? 0F B6 44 24 ?? EB ?? [8-16] E8 [4] 0F B6 44 24 ?? 84 C0 7? ?? [4-8] B8 01 00 00 00 E9 }
		$b3 = { 3D 77 69 6E 64 0F 85 [4-12] 66 3D 6F 77 0F 85 [4-12] 3C 73 0F 85 [4] E8 [4] [8-24] 31 ?? EB }
	condition:
		uint16(0) == 0x5A4D and uint32(uint32(0x3C)) == 0x00004550 and all of them
}

rule M_Hunting_Win32_NEARMISS_1 {
	meta:
		author = "Mandiant"
		description = "Rule looks for code present in NEARMISS samples. Based on a rule generated by symhunt for symfunc/
cef8160083d485a3676d55b3fc5e1c42."
	strings:
		$c = { 55 8B EC 81 EC AC 08 ?? ?? 53 56 57 33 DB 89 4D E0 68 ?? ?? ?? ?? 8D 85 78 FC FF FF C7 45 DC ?? ?? ?? ?? 53 50 C7 45 E4 ?? ?? ?? ?? 89 5D F8 89 5D A4 E8 ?? ?? ?? ?? 83 C4 0C 68 ?? ?? ?? ?? FF ?? ?? ?? ?? ?? 68 ?? ?? ?? ?? 8B F8 8D 85 78 FC FF FF 68 ?? ?? ?? ?? 50 FF ?? ?? ?? ?? ?? 83 C4 0C 89 45 F0 85 FF 74 ?? 8B ?? ?? ?? ?? ?? 68 ?? ?? ?? ?? 57 FF D6 68 ?? ?? ?? ?? 57 8B D8 FF D6 68 ?? ?? ?? ?? 57 FF D6 8B F0 85 F6 74 ?? 8D 45 F8 50 FF }
	condition:
		filesize < 15MB and uint16(0) == 0x5a4d and uint32(uint32(0x3C)) == 0x00004550 and any of them
}

rule M_Hunting_Win_WiperPaths_1 {
	meta:
		author = "Mandiant"
		description = "Detects notable wiper strings"
		reference = "https://twitter.com/ESETresearch/status/1496581903205511181"
	strings:
		$w1 = "\\\\.\\EPMNTDRV" wide fullword
		$w2 = "\\\\.\\PhysicalDrive" wide fullword
		$w3 = "Software\\Microsoft\\Windows\\CurrentVersion\\Explorer\\Advanced" wide fullword
		$w4 = "\\\\?\\C:\\Windows\\System32\\winevt\\Logs" wide fullword
		$w5 = "\\\\?\\C:\\Documents and Settings" wide fullword
		$w6 = "<<Obsolete>>" wide fullword
	condition:
		uint16(0) == 0x5A4D and uint32(uint32(0x3C)) == 0x00004550 and (all of them)
}

import "pe"

rule M_Backdoor_DARKCRYSTALRAT_1 {
	meta:
		author = "Mandiant"
		description = "Detection for DARKCRYSTAL RAT's C2 checkin and CSharp compiling code"
	strings:
		$c1 = { 72 ?? ?? ?? ?? A2 25 19 07 A2 25 1A 72 ?? ?? ?? ?? A2 25 1B 11 ?? 28 ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? A2 25 1C 72 ?? ?? ?? ?? A2 25 1D 11 ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? A2 25 1E 72 ?? ?? ?? ?? A2 25 1F ?? 11 ?? 28 ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? A2 25 1F ?? 72 ?? ?? ?? ?? A2 25 1F ?? 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 16 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? A2 25 1F ?? 72 ?? ?? ?? ?? A2 25 1F ?? 07 A2 28 ?? ?? ?? ?? }
		$c2 = { 02 28 ?? ?? ?? ?? 00 00 00 04 28 ?? ?? ?? ?? 0A 04 28 ?? ?? ?? ?? 0B 06 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 2D ?? 06 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 2B ?? 17 0C 08 39 ?? ?? ?? ?? 00 14 0D 06 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 13 ?? 11 ?? 2C ?? 73 ?? ?? ?? ?? 0D 2B ?? 73 ?? ?? ?? ?? 0D 73 ?? ?? ?? ?? 25 17 6F ?? ?? ?? ?? 00 25 16 6F ?? ?? ?? ?? 00 13 ?? 11 ?? 6F ?? ?? ?? ?? 06 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 17 8D ?? ?? ?? ?? 25 16 1F ?? 9D 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 09 11 ?? 17 8D ?? ?? ?? ?? 25 16 06 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? A2 6F ?? ?? ?? ?? 13 ?? 11 ?? 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? 13 ?? 11 ?? 39 ?? ?? ?? ?? 00 72 ?? ?? ?? ?? 13 ?? 00 11 ?? 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? 13 ?? 2B ?? 11 ?? 6F ?? ?? ?? ?? 74 ?? ?? ?? ?? 13 ?? 1E 8D ?? ?? ?? ?? 25 16 11 ?? A2 25 17 72 ?? ?? ?? ?? A2 25 18 11 ?? 6F ?? ?? ?? ?? A2 25 19 72 ?? ?? ?? ?? A2 25 1A 11 ?? 6F ?? ?? ?? ?? 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 1B 72 ?? ?? ?? ?? A2 25 1C 11 ?? 6F ?? ?? ?? ?? A2 25 1D 72 ?? ?? ?? ?? A2 28 ?? ?? ?? ?? 13 ?? 11 ?? 6F ?? ?? ?? ?? 2D ?? DE ?? 11 ?? 75 ?? ?? ?? ?? 13 ?? 11 ?? 2C ?? 11 ?? 6F ?? ?? ?? ?? 00 DC 02 11 ?? 7D ?? ?? ?? ?? 02 17 7D ?? ?? ?? ?? DD ?? ?? ?? ?? 11 ?? 6F ?? ?? ?? ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 13 ?? 00 11 ?? 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? 13 ?? 16 13 ?? 2B ?? 11 ?? 11 ?? 9A 13 ?? 00 11 ?? 6F ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 13 ?? 11 ?? 2C ?? 00 11 ?? 11 ?? 14 6F ?? ?? ?? ?? 26 2B ?? 00 11 ?? 17 58 13 ?? 11 ?? 11 ?? 8E 69 32 ?? 00 38 ?? ?? ?? ?? 06 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 13 ?? 11 ?? 39 ?? ?? ?? ?? 00 28 ?? ?? ?? ?? 72 ?? ?? ?? ?? 1F ?? 28 ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 13 ?? 11 ?? 06 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 28 ?? ?? ?? ?? 00 07 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? A5 ?? ?? ?? ?? 13 ?? 11 ?? 2C ?? 00 73 ?? ?? ?? ?? 25 17 6F ?? ?? ?? ?? 00 25 28 ?? ?? ?? ?? 2D ?? 72 ?? ?? ?? ?? 2B ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 25 17 6F ?? ?? ?? ?? 00 25 11 ?? 6F ?? ?? ?? ?? 00 13 ?? 11 ?? 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 00 2B ?? 00 73 ?? ?? ?? ?? 25 16 6F ?? ?? ?? ?? 00 25 28 ?? ?? ?? ?? 2D ?? 72 ?? ?? ?? ?? 2B ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 25 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 25 72 ?? ?? ?? ?? 11 ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 13 ?? 11 ?? 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 00 00 00 11 ?? 28 ?? ?? ?? ?? 00 00 DE ?? 26 00 00 DE ?? 00 38 ?? ?? ?? ?? 06 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 13 ?? 11 ?? 39 ?? ?? ?? ?? 00 28 ?? ?? ?? ?? 72 ?? ?? ?? ?? 1F ?? 28 ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 13 ?? 11 ?? 06 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 28 ?? ?? ?? ?? 00 73 ?? ?? ?? ?? 25 17 6F ?? ?? ?? ?? 00 25 28 ?? ?? ?? ?? 2D ?? 72 ?? ?? ?? ?? 2B ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 25 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 25 72 ?? ?? ?? ?? 11 ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 13 ?? 11 ?? 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 00 11 ?? 28 ?? ?? ?? ?? 00 00 DE ?? 26 00 00 DE ?? 00 38 ?? ?? ?? ?? 06 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 13 ?? 11 ?? 2C ?? 00 73 ?? ?? ?? ?? 25 17 6F ?? ?? ?? ?? 00 25 28 ?? ?? ?? ?? 2D ?? 72 ?? ?? ?? ?? 2B ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 25 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 25 72 ?? ?? ?? ?? 06 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 13 ?? 11 ?? 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 00 02 16 7D ?? ?? ?? ?? 00 DE ?? 13 ?? 00 02 11 ?? 6F ?? ?? ?? ?? 7D ?? ?? ?? ?? 02 17 7D ?? ?? ?? ?? 00 DE ?? 2A }
		$c3 = { 73 ?? ?? ?? ?? 0D 2B ?? 73 ?? ?? ?? ?? 0D 73 ?? ?? ?? ?? 25 17 6F ?? ?? ?? ?? 00 25 16 6F ?? ?? ?? ?? 00 13 ?? 11 ?? 6F ?? ?? ?? ?? 06 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 17 8D ?? ?? ?? ?? 25 16 1F ?? 9D 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 09 11 ?? 17 8D ?? ?? ?? ?? 25 16 06 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? A2 6F ?? ?? ?? ?? 13 ?? 11 ?? 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? 13 ?? 11 ?? 39 ?? ?? ?? ?? 00 72 ?? ?? ?? ?? 13 ?? 00 11 ?? 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? 13 ?? 2B ?? 11 ?? 6F ?? ?? ?? ?? 74 ?? ?? ?? ?? 13 ?? 1E 8D ?? ?? ?? ?? 25 16 11 ?? A2 25 17 72 ?? ?? ?? ?? A2 25 18 11 ?? 6F ?? ?? ?? ?? A2 25 19 72 ?? ?? ?? ?? A2 25 1A 11 ?? 6F ?? ?? ?? ?? 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 1B 72 ?? ?? ?? ?? A2 25 1C 11 ?? 6F ?? ?? ?? ?? A2 25 1D 72 ?? ?? ?? ?? A2 28 ?? ?? ?? ?? 13 ?? 11 ?? 6F ?? ?? ?? ?? 2D ?? DE ?? 11 ?? 75 ?? ?? ?? ?? 13 ?? 11 ?? 2C ?? 11 ?? 6F ?? ?? ?? ?? 00 DC 02 11 ?? 7D ?? ?? ?? ?? 02 17 7D ?? ?? ?? ?? DD ?? ?? ?? ?? 11 ?? 6F ?? ?? ?? ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 13 ?? 00 11 ?? 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? 13 ?? 16 13 ?? 2B ?? 11 ?? 11 ?? 9A 13 ?? 00 11 ?? 6F ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 13 ?? 11 ?? 2C ?? 00 11 ?? 11 ?? 14 6F ?? ?? ?? ?? 26 2B ?? 00 11 ?? 17 58 13 ?? 11 ?? 11 ?? 8E 69 32 ?? 00 38 ?? ?? ?? ?? 06 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 13 ?? 11 ?? 39 ?? ?? ?? ?? 00 28 ?? ?? ?? ?? 72 ?? ?? ?? ?? 1F ?? 28 ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 13 ?? 11 ?? 06 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 28 ?? ?? ?? ?? 00 07 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? A5 ?? ?? ?? ?? 13 ?? 11 ?? 2C ?? 00 73 ?? ?? ?? ?? 25 17 6F ?? ?? ?? ?? 00 25 28 ?? ?? ?? ?? 2D ?? 72 ?? ?? ?? ?? 2B ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 25 17 6F ?? ?? ?? ?? 00 25 11 ?? 6F ?? ?? ?? ?? 00 13 ?? 11 ?? 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 00 2B ?? 00 73 ?? ?? ?? ?? 25 16 6F ?? ?? ?? ?? 00 25 28 ?? ?? ?? ?? 2D ?? 72 ?? ?? ?? ?? 2B ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 25 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 25 72 ?? ?? ?? ?? 11 ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 13 ?? 11 ?? 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 00 00 00 11 ?? 28 ?? ?? ?? ?? 00 00 DE ?? 26 00 00 DE ?? 00 38 ?? ?? ?? ?? 06 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 13 ?? 11 ?? 39 ?? ?? ?? ?? 00 28 ?? ?? ?? ?? 72 ?? ?? ?? ?? 1F ?? 28 ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 13 ?? 11 ?? 06 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 28 ?? ?? ?? ?? 00 73 ?? ?? ?? ?? 25 17 6F ?? ?? ?? ?? 00 25 28 ?? ?? ?? ?? 2D ?? 72 ?? ?? ?? ?? 2B ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 25 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 25 72 ?? ?? ?? ?? 11 ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 13 ?? 11 ?? 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 00 11 ?? 28 ?? ?? ?? ?? 00 00 DE ?? 26 00 00 DE ?? 00 38 ?? ?? ?? ?? 06 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 13 ?? 11 ?? 2C ?? 00 73 ?? ?? ?? ?? 25 17 6F ?? ?? ?? ?? 00 25 28 ?? ?? ?? ?? 2D ?? 72 ?? ?? ?? ?? 2B ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 25 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 25 72 ?? ?? ?? ?? 06 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 13 ?? 11 ?? 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 00 02 16 7D ?? ?? ?? ?? 00 DE ?? 13 ?? 00 02 11 ?? 6F ?? ?? ?? ?? 7D ?? ?? ?? ?? 02 17 7D ?? ?? ?? ?? 00 DE ?? 2A }
		$c4 = { 00 73 ?? ?? ?? ?? 25 72 ?? ?? ?? ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 0A 06 73 ?? ?? ?? ?? 0B 73 ?? ?? ?? ?? 25 17 6F ?? ?? ?? ?? 25 16 6F ?? ?? ?? ?? 25 6F ?? ?? ?? ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 26 25 6F ?? ?? ?? ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 26 25 6F ?? ?? ?? ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 26 25 6F ?? ?? ?? ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 26 25 6F ?? ?? ?? ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 26 25 6F ?? ?? ?? ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 26 25 6F ?? ?? ?? ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 26 0C 07 08 17 8D ?? ?? ?? ?? 25 16 02 7B ?? ?? ?? ?? 28 ?? ?? ?? ?? A2 6F ?? ?? ?? ?? 0D 09 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? 2C ?? 1F ?? 8D ?? ?? ?? ?? 25 16 7E ?? ?? ?? ?? A2 25 17 72 ?? ?? ?? ?? A2 25 18 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? A2 25 19 72 ?? ?? ?? ?? A2 25 1A 7E ?? ?? ?? ?? A2 25 1B 72 ?? ?? ?? ?? A2 25 1C 72 ?? ?? ?? ?? 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? A2 25 1D 72 ?? ?? ?? ?? A2 25 1E 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? A2 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 26 2B ?? 1F ?? 8D ?? ?? ?? ?? 25 16 7E ?? ?? ?? ?? A2 25 17 72 ?? ?? ?? ?? A2 25 18 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? A2 25 19 72 ?? ?? ?? ?? A2 25 1A 7E ?? ?? ?? ?? A2 25 1B 72 ?? ?? ?? ?? A2 25 1C 72 ?? ?? ?? ?? 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? A2 25 1D 72 ?? ?? ?? ?? A2 25 1E 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? A2 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 26 09 6F ?? ?? ?? ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 13 ?? 11 ?? 6F ?? ?? ?? ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 13 ?? 11 ?? 11 ?? 14 6F ?? ?? ?? ?? 26 DE ?? 26 1F ?? 8D ?? ?? ?? ?? 25 16 7E ?? ?? ?? ?? A2 25 17 72 ?? ?? ?? ?? A2 25 18 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? A2 25 19 72 ?? ?? ?? ?? A2 25 1A 7E ?? ?? ?? ?? A2 25 1B 72 ?? ?? ?? ?? A2 25 1C 72 ?? ?? ?? ?? 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? A2 25 1D 72 ?? ?? ?? ?? A2 25 1E 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? A2 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 26 DE ?? 2A }
	condition:
		uint16(0) == 0x5a4d and pe.data_directories[pe.IMAGE_DIRECTORY_ENTRY_COM_DESCRIPTOR].virtual_address != 0 and 1 of ($c*)
}

rule M_Downloader_SHARPCOFFEE_1 {
	meta:
		author = "Mandiant"
	strings:
		$str1 = "ActiveXObject(\"WScript.Shell\").Run(\"powershell.exe" nocase
		$str2 = "new-object net.webclient;" nocase
		$str3 = ".downloaddata('http" nocase
		$str4 = ".uploaddata('http" nocase
		$str5 = "[System.Net.Dns]" nocase
	condition:
		all of them
}

rule M_Dropper_COLDWELL_Permission_Arch_Check_1 {
	meta:
		author = "Mandiant"
	strings:
		$ = { C7 45 F? 00 05 50 C7 45 F? }
		$ = { C7 45 F? 00 00 00 00 C7 45 F? }
		$ = { 0F 95 C3 6A 04 83 C3 [7] F7 D8 6A 0A }
	condition:
		all of them
}

rule M_Hunting_Backdoor_PowerShell_WILDDIME_Strings_1 {
	meta:
		author = "Mandiant"
		description = "Searching for PowerShell scripts with strings associated with WILDDIME."
	strings:
		$s1 = "GetEnviron" ascii wide nocase
		$s2 = "R64Encoder" ascii wide nocase
		$s3 = "R64Decoder" ascii wide nocase
		$s4 = "Send-HttpRequest" ascii wide nocase
		$s5 = "JVBERi0xLjcNCiW1tb" ascii wide nocase
	condition:
		filesize < 200KB and all of them
}

rule M_Hunting_Dropper_SHARPIVORY_Strings_1 {
	meta:
		author = "Mandiant"
		description = "Searching for executables containing strings references to the SHARPIVORY code family."
	strings:
		$s1 = "WriteAllBytes"
		$s2 = "FromBase64String"
		$w1 = "schtasks.exe" wide
		$w2 = "kernel32.dll" wide
		$w3 = "/create /tn" wide
		$w4 = "/sc minute /mo 20 /f" wide
	condition:
		filesize < 5MB and uint16(0) == 0x5A4D and uint32(uint32(0x3C)) == 0x00004550 and all of them
}

cve-2021-4034

cve-2022-30190

request.inputstream.read

twitter.com

github.com

cloud.google.com

meterpreter.py

response.bin

chkdsk.exe

cleaner.exe

whitehouse.ini

pe.dat

sharpcoffe.vbs

kernel32.dll

epinna

0c245b2700e9417c0e1cbfd0f8d1aa70

A101-166

A107-038

A107-010

A105-407

A107-026

A107-024

A107-033

A107-016

A106-103

A106-008

A106-994

A106-998

A104-850

A106-439

A106-438

A106-993

A103-873

A102-518

A102-582

A102-584

A106-190

A103-030

A103-615