cs_yara

csyara Cobalt Strike Yara ルールをチェック 参考リンク https://github.com/CCob/BeaconEye BeaconEye バグ修正: https://wbglil.gitbook.io/cobalt-strike/cobalt-strike-gong-ji-fang-yu/untitled-1 https://raw.githubusercontent.com/CCob/BeaconEye/master/BeaconEye.cs より取得したルール beaconEye.yar root@kitploit: rule CobaltStrike...

Fnord

Fnord Fnord는 난독화된 코드를 위한 패턴 추출기입니다. 설명 Fnord는 두 가지 주요 기능을 가지고 있습니다: 1. 바이트 시퀀스를 추출하고 일부 통계를 생성합니다. 2. 이 통계를 사용하여 길이, 발생 횟수, 유사성 및 키워드를 결합하여 YARA 규칙을 만듭니다. 1. 통계 Fnord는 파일을 다양한 크기의 슬라이딩 윈도우로 처리하여 최소 길이 -m X 기본값: 4부터 최대 길이 -x X 기본값: 40까지 모든 시퀀스를 추출합니다. 각 길이에 대해 Fnord는 가장 자주 발생하는 시퀀스 -t X 기본값: 3를...

Detectar-Backdoor-en-liblzma-de-XZ-utils-CVE-2024-3094-

XZ 유틸리티 liblzma 백도어 탐지 - CVE-2024-3094 다음 YARA 규칙은 압축 도구 XZ 버전 5.6.0 및 5.6.1을 사용하는 시스템에서 손상된 liblzma 라이브러리에 백도어가 존재하는지 탐지하는 데 도움이 됩니다. 이는 이 취약점으로 인해 악용될 수 있는 취약한 시스템을 식별하는 메커니즘을 제공합니다. 영향을 받는 시스템에서 이 규칙을 사용함으로써 보안 관리자는 손상 징후를 찾고 백도어 악용 위험을 완화하기 위한 시정 조치를 취할 수 있습니다...

CVE-2025-32433-Detection

CVE-2025-32433 検出 著者: te0rwx 作成日: 2025-08-27 更新: 2026-08-16 説明 CVE-2025-32433 （Erlang/OTP SSHの事前認証リモートコード実行（RCE）脆弱性）に関連する既知のアーティファクトを検出するためのカスタムYARAルールです。 本ルールは、公開されている概念実証（PoC）アーティファクトおよび管理された実験室環境で生成されたネットワークキャプチャに対して開発・検証されました。 検出範囲 本ルールはCVE-2025-32433に関連する既知のインジケータを検出します。具体的には次のとおりです：...

Kalim_Backdoor

칼림 백도어 악성코드 분석 보고서 이 보고서는 칼림 백도어 악성코드의 기능에 대해 다룹니다. 목차: - 백도어란? - 기술적 분석. - 요약. - 전술 및 기법 MITRE ATT&CK. - 침해 지표 IOC. - 야라 규칙. 백도어Backdoor란 무엇인가? 백도어는 정상적인 인증 및 보안 제어를 우회하여 시스템에 접근할 수 있는 숨겨진 방법입니다. 기술적 분석: 기본 정적 분석: 먼저 초기 분석을 위해 VirusTotal에 업로드합니다. 결과에 따르면 파일은 64비트 DLL이며, Kalim 악성코드 패밀리로...

BruteRatel-DetectionTools

BruteRatel-DetectionTools Brute Ratel C4 バッジャーをデコードするためのツールとルールのコレクション すべてのツールとルールは、PaloAlto のレポート https://unit42.paloaltonetworks.com/brute-ratel-c4-tool/ で特定されたサンプルに基づいています。 Yara ルール この Yara ルールは、Unit42 レポートに含まれるサンプルと、このルールによって識別された追加サンプルに対してテストされています。 root@kitploit: ❯ yara rule.yar BruteRatel...

cobaltstrike-sleepmask-yara

cobaltstrike-sleepmask-yara これは、https://codex-7.gitbook.io/codexs-terminal-window/blue-team/detecting-cobalt-strike/sleep-mask-kit-iocs で見つけた sleepmask 検出ルール用の git リポジトリです。 tl;dr これらのバイトは sleep mask kit 難読化されていない .text セクション 自体の一部であり、スリープ中も難読化されません。組み込みの sleepmasking...

detect-cve-2024-4367

CVE-2024-4367 の検出 CVE-2024-4367（PDF.js における任意の JavaScript 実行）のための簡易 YARA 検出ルールです。 使い方 root@kitploit: $ yara explpdfjscve20244367.yar pocgeneralizedCVE-2024-4367.pdf EXPLPDFJSCVE20244367 pocgeneralizedCVE-2024-4367.pdf クレジット POC...

detect_CVE-2026-21509

CVE-2026-21509 の MS Office 脆弱性に対する検出 このリポジトリには、CVE-2026-21509 の潜在的なエクスプロイトを含む RTF 文書を検出するための YARA ルールと、 その脆弱性に関連する Shell.Explorer.1 OLE オブジェクトが MS Office ファイルに含まれているかどうかを確認する Python スクリプトが含まれています。 技術的な詳細については、https://decalage.info/CVE-2026-21509/ を参照してください。 RTF ファイル用の YARA ルール このルールは、CVE-2026-215...

keepass_CVE-2023-24055_yara_rule

keepassCVE-2023-24055yararule 侵害された可能性のあるKeePass設定ファイルを探索するためのシンプルなyaraルールが含まれています。 使い方 yara、loki、thor-liteなどのyaraルールスキャナを使用して、このルールでシステムをスキャンします。ローカルのKeePass設定ファイルのデフォルトの場所は %APPDATA%\Roaming\KeePass\KeePass.config.xml です。...

CVE-2022-26134-Exploit-Detection

Confluence RCE CVE-2022-26134 エクスプロイト検出 前提条件 1. ClamAV このリポジトリをクローンするか、ConfluenceサーバーにYaraルールをダウンロードします この脆弱性を最初に公開した volexity/threat-intel が提供する Yara ルールを使用しています。 Git クローン root@kitploit: git clone https://github.com/th3b3ginn3r/CVE-2022-26134-Exploit-Detection.git Raw ファイルのダウンロード...

Malicious code in react-refresh-update (npm)

Package contains highly obfuscated code with dynamic execution using eval, a strong indicator of malicious intent. YARA rule matches confirm. --- -= Per source details. Do not edit below this line.=- Source: amazon-inspector 68cf0c0bd6ed2a8c07bc175b5c0cc7f86a49133e67dd5d8f68f37309c5f1a463 The...

Exploit for Reliance on Untrusted Inputs in a Security Decision in Microsoft

Detections for the CVE-2026-21509 vulnerability in MS Office...

Malicious code in @yoobic/jpeg-camera-es6 (npm)

Suspicious postinstall script executing bundle.js and the presence of unsignedbitwisemathexcess YARA rule match indicates malware. --- -= Per source details. Do not edit below this line.=- Source: ghsa-malware 38de35c3ae3f0f156a77b94484f3774c14c293d3e37531ec74c8277fde1ad5c7 Any computer that has...

Malicious code in yoo-styles (npm)

Suspicious postinstall script executing bundle.js and YARA rule unsignedbitwisemathexcess match strongly suggests malicious activity. --- -= Per source details. Do not edit below this line.=- Source: ghsa-malware 9b064ef82c07e5538a3269d44de4c6750b224f665f808a5099715143c8be21e4 Any computer that h...

MAL-2025-47230 Malicious code in yoo-styles (npm)

Suspicious postinstall script executing bundle.js and YARA rule unsignedbitwisemathexcess match strongly suggests malicious activity. --- -= Per source details. Do not edit below this line.=- Source: ghsa-malware 9b064ef82c07e5538a3269d44de4c6750b224f665f808a5099715143c8be21e4 Any computer that h...

Malicious code in @operato/styles (npm)

Suspicious postinstall script executing bundle.js and unsignedbitwisemathexcess YARA rule match indicates malicious behavior. --- -= Per source details. Do not edit below this line.=- Source: ghsa-malware f85f761f5ad599532a97a4c4c64bea4910004e56178cd4081fefb3b113ed8d6d Any computer that has this...

MAL-2025-47220 Malicious code in @operato/styles (npm)

Suspicious postinstall script executing bundle.js and unsignedbitwisemathexcess YARA rule match indicates malicious behavior. --- -= Per source details. Do not edit below this line.=- Source: ghsa-malware f85f761f5ad599532a97a4c4c64bea4910004e56178cd4081fefb3b113ed8d6d Any computer that has this...

Malicious code in @things-factory/integration-marketplace (npm)

Suspicious postinstall script executing bundle.js and YARA rule match on bundle.js suggests malicious behavior. --- -= Per source details. Do not edit below this line.=- Source: ghsa-malware 707cb5e2a466e8a099c5ffaaf71fd576d658e67702737dd3dfef8dc62127aa8f Any computer that has this package...

MAL-2025-47224 Malicious code in @things-factory/integration-marketplace (npm)

Suspicious postinstall script executing bundle.js and YARA rule match on bundle.js suggests malicious behavior. --- -= Per source details. Do not edit below this line.=- Source: ghsa-malware 707cb5e2a466e8a099c5ffaaf71fd576d658e67702737dd3dfef8dc62127aa8f Any computer that has this package...