Fnord

Fnord Fnord es un extractor de patrones para código ofuscado Descripción Fnord tiene dos funciones principales: 1. Extraer secuencias de bytes y crear algunas estadísticas 2. Usar estas estadísticas, combinar longitud, número de ocurrencias, similitud y palabras clave para crear una regla YARA 1...

detect-cve-2024-4367

Detectar CVE-2024-4367 Regla de detección YARA rápida y sencilla para la ejecución arbitraria de JavaScript en PDF.js CVE-2024-4367. Uso $ yara explpdfjscve20244367.yar pocgeneralizedCVE-2024-4367.pdf EXPLPDFJSCVE20244367 pocgeneralizedCVE-2024-4367.pdf Créditos POC y divulgación de...

cs_yara

csyara Comprueba las reglas Yara de Cobalt Strike Enlaces de referencia https://github.com/CCob/BeaconEye Corrección de errores de BeaconEye: https://wbglil.gitbook.io/cobalt-strike/cobalt-strike-gong-ji-fang-yu/untitled-1 regla obtenida de...

detect_CVE-2026-21509

Detecciones para la vulnerabilidad CVE-2026-21509 en MS Office Este repositorio contiene una regla YARA para detectar documentos RTF con una posible explotación de CVE-2026-21509, y un script de Python para comprobar si los archivos de MS Office contienen objetos OLE Shell.Explorer.1, que están...

keepass_CVE-2023-24055_yara_rule

keepassCVE-2023-24055yararule Contiene una regla yara simple para buscar posibles archivos de configuración de KeePass comprometidos Cómo usar Use un escáner de reglas yara, como yara, loki o thor-lite para escanear sistemas con esta regla. La ubicación predeterminada del archivo de configuración...

CVE-2022-26134-Exploit-Detection

Detección de Exploit de Confluence RCE CVE-2022-26134 Requisitos previos 1. ClamAV Clona este repositorio o descarga la regla Yara en tu servidor Confluence Estamos usando la regla Yara proporcionada por volexity/threat-intel, quienes revelaron esta vulnerabilidad por primera vez. Git Clone git...

CVE-2025-32433-Detection

Detección de CVE-2025-32433 Autor: te0rwx Creado: 2025-08-27 Actualizado 2026-08-16 Descripción Una regla YARA personalizada para detectar artefactos conocidos asociados con CVE-2025-32433 , una vulnerabilidad de ejecución remota de código RCE antes de la autenticación en Erlang/OTP SSH. La regla...

Kalim_Backdoor

Informe de Análisis de Malware Kalim Backdoor Este informe tratará sobre la funcionalidad del malware Kalim Backdoor. Tabla de Contenidos: - ¿Qué es una Backdoor? - Análisis Técnico. - Resumen. - Tácticas y Técnicas MITRE ATT&CK. - IOCs. - Regla Yara. ¿Qué significa Backdoor? Una backdoor es...

Detectar-Backdoor-en-liblzma-de-XZ-utils-CVE-2024-3094-

Detectar-Backdoor-en-liblzma-de-XZ-utils-CVE-2024-3094- La siguiente regla YARA ayuda a detectar la presencia del backdoor en la librería liblzma comprometida en sistemas que utilizan las versiones 5.6.0 y 5.6.1 de la herramienta de compresión XZ. Esto proporciona un mecanismo para identificar...

BruteRatel-DetectionTools

BruteRatel-DetectionTools Una colección de herramientas y reglas para decodificar badgers de Brute Ratel C4 Todas las herramientas y reglas se basan en muestras identificadas por PaloAlto en su informe https://unit42.paloaltonetworks.com/brute-ratel-c4-tool/ Regla Yara La regla Yara ha sido proba...

cobaltstrike-sleepmask-yara

cobaltstrike-sleepmask-yara Solo un repositorio git para la regla de detección de sleepmask que encontré en https://codex-7.gitbook.io/codexs-terminal-window/blue-team/detecting-cobalt-strike/sleep-mask-kit-iocs tl;dr En resumen, estos bytes forman parte del sleep mask kit sección .text sin ofusc...

Malicious code in react-refresh-update (npm)

Package contains highly obfuscated code with dynamic execution using eval, a strong indicator of malicious intent. YARA rule matches confirm. --- -= Per source details. Do not edit below this line.=- Source: amazon-inspector 68cf0c0bd6ed2a8c07bc175b5c0cc7f86a49133e67dd5d8f68f37309c5f1a463 The...

Exploit for Reliance on Untrusted Inputs in a Security Decision in Microsoft

Detections for the CVE-2026-21509 vulnerability in MS Office...

Malicious code in @yoobic/jpeg-camera-es6 (npm)

Suspicious postinstall script executing bundle.js and the presence of unsignedbitwisemathexcess YARA rule match indicates malware. --- -= Per source details. Do not edit below this line.=- Source: ghsa-malware 38de35c3ae3f0f156a77b94484f3774c14c293d3e37531ec74c8277fde1ad5c7 Any computer that has...

Malicious code in yoo-styles (npm)

Suspicious postinstall script executing bundle.js and YARA rule unsignedbitwisemathexcess match strongly suggests malicious activity. --- -= Per source details. Do not edit below this line.=- Source: ghsa-malware 9b064ef82c07e5538a3269d44de4c6750b224f665f808a5099715143c8be21e4 Any computer that h...

MAL-2025-47230 Malicious code in yoo-styles (npm)

Suspicious postinstall script executing bundle.js and YARA rule unsignedbitwisemathexcess match strongly suggests malicious activity. --- -= Per source details. Do not edit below this line.=- Source: ghsa-malware 9b064ef82c07e5538a3269d44de4c6750b224f665f808a5099715143c8be21e4 Any computer that h...

Malicious code in @operato/styles (npm)

Suspicious postinstall script executing bundle.js and unsignedbitwisemathexcess YARA rule match indicates malicious behavior. --- -= Per source details. Do not edit below this line.=- Source: ghsa-malware f85f761f5ad599532a97a4c4c64bea4910004e56178cd4081fefb3b113ed8d6d Any computer that has this...

MAL-2025-47220 Malicious code in @operato/styles (npm)

Suspicious postinstall script executing bundle.js and unsignedbitwisemathexcess YARA rule match indicates malicious behavior. --- -= Per source details. Do not edit below this line.=- Source: ghsa-malware f85f761f5ad599532a97a4c4c64bea4910004e56178cd4081fefb3b113ed8d6d Any computer that has this...

Malicious code in @things-factory/integration-marketplace (npm)

Suspicious postinstall script executing bundle.js and YARA rule match on bundle.js suggests malicious behavior. --- -= Per source details. Do not edit below this line.=- Source: ghsa-malware 707cb5e2a466e8a099c5ffaaf71fd576d658e67702737dd3dfef8dc62127aa8f Any computer that has this package...

MAL-2025-47224 Malicious code in @things-factory/integration-marketplace (npm)

Suspicious postinstall script executing bundle.js and YARA rule match on bundle.js suggests malicious behavior. --- -= Per source details. Do not edit below this line.=- Source: ghsa-malware 707cb5e2a466e8a099c5ffaaf71fd576d658e67702737dd3dfef8dc62127aa8f Any computer that has this package...