Fnord

Fnord Fnord is a pattern extractor for obfuscated code Description Fnord has two main functions: 1. Extract byte sequences and create some statistics 2. Use these statistics, combine length, number of occurrences, similarity and keywords to create a YARA rule 1. Statistics Fnord processes the fil...

CVE-2025-32433-Detection

CVE-2025-32433 탐지 작성자: te0rwx 생성일: 2025-08-27 업데이트: 2026-08-16 설명 Erlang/OTP SSH 사전 인증 원격 코드 실행RCE 취약점인 CVE-2025-32433 과 관련된 알려진 아티팩트를 탐지하기 위한 사용자 지정 YARA 규칙입니다. 이 규칙은 공개된 개념 증명PoC 아티팩트와 통제된 실험실 환경에서 생성된 네트워크 캡처를 대상으로 개발 및 검증되었습니다. 탐지 범위 이 규칙은 CVE-2025-32433과 관련된 알려진 지표를 탐지하며, 여기에는 다음이 포함됩니다: 공개...

Kalim_Backdoor

Kalim Backdoor Malware Analysis Report This Report will talk about the functionality of Kalim Backdoor Malware. Table of Contents: - What is Backdoor? - Technical Analysis. - Summary. - Tactics & Technique MITRE ATT&CK. - IOCs. - Yara Rule. What does Backdoor mean? A backdoor is a hidden...

cs_yara

csyara Cobalt Strike Yara 규칙 확인 참고 링크 https://github.com/CCob/BeaconEye BeaconEye 버그 수정: https://wbglil.gitbook.io/cobalt-strike/cobalt-strike-gong-ji-fang-yu/untitled-1 규칙 출처: https://raw.githubusercontent.com/CCob/BeaconEye/master/BeaconEye.cs beaconEye.yar rule CobaltStrike strings:...

Detectar-Backdoor-en-liblzma-de-XZ-utils-CVE-2024-3094-

XZ 유틸리티 liblzma 백도어 탐지 - CVE-2024-3094 다음 YARA 규칙은 압축 도구 XZ 버전 5.6.0 및 5.6.1을 사용하는 시스템에서 손상된 liblzma 라이브러리에 백도어가 존재하는지 탐지하는 데 도움이 됩니다. 이는 이 취약점으로 인해 악용될 수 있는 취약한 시스템을 식별하는 메커니즘을 제공합니다. 영향을 받는 시스템에서 이 규칙을 사용함으로써 보안 관리자는 손상 징후를 찾고 백도어 악용 위험을 완화하기 위한 시정 조치를 취할 수 있습니다...

BruteRatel-DetectionTools

BruteRatel-DetectionTools Brute Ratel C4 badger를 디코딩하기 위한 도구 및 규칙 모음 모든 도구와 규칙은 PaloAlto가 보고서 https://unit42.paloaltonetworks.com/brute-ratel-c4-tool/ 에서 식별한 샘플을 기반으로 합니다. Yara 규칙 이 Yara 규칙은 Unit42 보고서에 포함된 샘플과 이 규칙으로 추가로 식별된 샘플을 대상으로 테스트되었습니다. ❯ yara rule.yar BruteRatel ./hacker.exe BruteRatel...

cobaltstrike-sleepmask-yara

cobaltstrike-sleepmask-yara https://codex-7.gitbook.io/codexs-terminal-window/blue-team/detecting-cobalt-strike/sleep-mask-kit-iocs에서 찾은 슬립 마스크 탐지 규칙을 위한 git 저장소입니다. tl;dr 핵심 요약: 이 바이트들은 슬립 마스크 키트 난독화되지 않은 .text 섹션 자체의 일부이며, 슬립 중에는 난독화되지 않습니다. 기본 제공 슬립 마스킹 기법에서는 비콘을 깨우기 위해 이 영역이 실행 가능한 상태로 유지되어야...

detect-cve-2024-4367

CVE-2024-4367 탐지 PDF.js에서 임의 JavaScript 실행을 허용하는 CVE-2024-4367에 대한 빠르고 간단한 YARA 탐지 규칙입니다. 사용법 $ yara explpdfjscve20244367.yar pocgeneralizedCVE-2024-4367.pdf EXPLPDFJSCVE20244367 pocgeneralizedCVE-2024-4367.pdf 크레딧 PoC 및 공개 정보:...

detect_CVE-2026-21509

CVE-2026-21509 MS Office 취약점 탐지 이 저장소에는 CVE-2026-21509의 잠재적 악용이 포함된 RTF 문서를 탐지하는 YARA 규칙과, 해당 취약점과 관련된 Shell.Explorer.1 OLE 개체가 MS Office 파일에 포함되어 있는지 확인하는 Python 스크립트가 포함되어 있습니다. 자세한 기술적 내용은 https://decalage.info/CVE-2026-21509/ 를 참조하십시오. RTF 파일용 YARA 규칙 이 규칙은 CVE-2026-21509 취약점을 악용하는 데 사용되는...

keepass_CVE-2023-24055_yara_rule

keepassCVE-2023-24055yararule 손상 가능성이 있는 KeePass 구성 파일을 찾기 위한 간단한 yara 규칙을 포함합니다. 사용 방법 yara, loki 또는 thor-lite와 같은 yara 규칙 스캐너를 사용하여 이 규칙으로 시스템을 스캔하세요. 로컬 KeePass 구성 파일의 기본 위치는 %APPDATA%\Roaming\KeePass\KeePass.config.xml입니다...

CVE-2022-26134-Exploit-Detection

Confluence RCE CVE-2022-26134 익스플로잇 탐지 사전 요구 사항 1. ClamAV 이 저장소를 복제하거나 Confluence 서버에 Yara 규칙을 다운로드하세요 이 취약점을 최초로 공개한 volexity/threat-intel이 제공한 Yara 규칙을 사용합니다. Git 클론 git clone https://github.com/th3b3ginn3r/CVE-2022-26134-Exploit-Detection.git 원본 파일 다운로드 CVE-2022-26134.yar:...

Malicious code in react-refresh-update (npm)

Package contains highly obfuscated code with dynamic execution using eval, a strong indicator of malicious intent. YARA rule matches confirm. --- -= Per source details. Do not edit below this line.=- Source: amazon-inspector 68cf0c0bd6ed2a8c07bc175b5c0cc7f86a49133e67dd5d8f68f37309c5f1a463 The...

Exploit for Reliance on Untrusted Inputs in a Security Decision in Microsoft

Detections for the CVE-2026-21509 vulnerability in MS Office...

Malicious code in @yoobic/jpeg-camera-es6 (npm)

Suspicious postinstall script executing bundle.js and the presence of unsignedbitwisemathexcess YARA rule match indicates malware. --- -= Per source details. Do not edit below this line.=- Source: ghsa-malware 38de35c3ae3f0f156a77b94484f3774c14c293d3e37531ec74c8277fde1ad5c7 Any computer that has...

Malicious code in yoo-styles (npm)

Suspicious postinstall script executing bundle.js and YARA rule unsignedbitwisemathexcess match strongly suggests malicious activity. --- -= Per source details. Do not edit below this line.=- Source: ghsa-malware 9b064ef82c07e5538a3269d44de4c6750b224f665f808a5099715143c8be21e4 Any computer that h...

MAL-2025-47230 Malicious code in yoo-styles (npm)

Suspicious postinstall script executing bundle.js and YARA rule unsignedbitwisemathexcess match strongly suggests malicious activity. --- -= Per source details. Do not edit below this line.=- Source: ghsa-malware 9b064ef82c07e5538a3269d44de4c6750b224f665f808a5099715143c8be21e4 Any computer that h...

Malicious code in @operato/styles (npm)

Suspicious postinstall script executing bundle.js and unsignedbitwisemathexcess YARA rule match indicates malicious behavior. --- -= Per source details. Do not edit below this line.=- Source: ghsa-malware f85f761f5ad599532a97a4c4c64bea4910004e56178cd4081fefb3b113ed8d6d Any computer that has this...

MAL-2025-47220 Malicious code in @operato/styles (npm)

Suspicious postinstall script executing bundle.js and unsignedbitwisemathexcess YARA rule match indicates malicious behavior. --- -= Per source details. Do not edit below this line.=- Source: ghsa-malware f85f761f5ad599532a97a4c4c64bea4910004e56178cd4081fefb3b113ed8d6d Any computer that has this...

Malicious code in @things-factory/integration-marketplace (npm)

Suspicious postinstall script executing bundle.js and YARA rule match on bundle.js suggests malicious behavior. --- -= Per source details. Do not edit below this line.=- Source: ghsa-malware 707cb5e2a466e8a099c5ffaaf71fd576d658e67702737dd3dfef8dc62127aa8f Any computer that has this package...

MAL-2025-47224 Malicious code in @things-factory/integration-marketplace (npm)

Suspicious postinstall script executing bundle.js and YARA rule match on bundle.js suggests malicious behavior. --- -= Per source details. Do not edit below this line.=- Source: ghsa-malware 707cb5e2a466e8a099c5ffaaf71fd576d658e67702737dd3dfef8dc62127aa8f Any computer that has this package...