rule win_darkbit_auto {

    meta:
        author = "Felix Bilstein - yara-signator at cocacoding dot com"
        date = "2023-03-28"
        version = "1"
        description = "Detects win.darkbit."
        info = "autogenerated rule brought to you by yara-signator"
        tool = "yara-signator v0.6.0"
        signator_config = "callsandjumps;datarefs;binvalue"
        malpedia_reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.darkbit"
        malpedia_rule_date = "20230328"
        malpedia_hash = "9d2d75cef573c1c2d861f5197df8f563b05a305d"
        malpedia_version = "20230407"
        malpedia_license = "CC BY-SA 4.0"
        malpedia_sharing = "TLP:WHITE"

    /* DISCLAIMER
     * The strings used in this rule have been automatically selected from the
     * disassembly of memory dumps and unpacked files, using YARA-Signator.
     * The code and documentation is published here:
     * https://github.com/fxb-cocacoding/yara-signator
     * As Malpedia is used as data source, please note that for a given
     * number of families, only single samples are documented.
     * This likely impacts the degree of generalization these rules will offer.
     * Take the described generation method also into consideration when you
     * apply the rules in your use cases and assign them confidence levels.
     */


    strings:
        $sequence_0 = { e8???????? 90 c784244e040000a30340b2 c784244a040000f04213e6 31c9 eb1d 0fb6940c4e040000 }
            // n = 7, score = 100
            //   e8????????           |                     
            //   90                   | lea                 ebp, [esp + 0xe0]
            //   c784244e040000a30340b2     | mov    eax, 8
            //   c784244a040000f04213e6     | mov    ecx, 0xb4
            //   31c9                 | dec                 ebp
            //   eb1d                 | cmp                 esp, dword ptr [esi + 0x10]
            //   0fb6940c4e040000     | jbe                 0xb94

        $sequence_1 = { eb10 4889c7 488b8c2408030000 e8???????? 488d0d14e31700 48890d???????? 833d????????00 }
            // n = 7, score = 100
            //   eb10                 | jb                  0xf4e
            //   4889c7               | dec                 eax
            //   488b8c2408030000     | shr                 edx, 8
            //   e8????????           |                     
            //   488d0d14e31700       | dec                 eax
            //   48890d????????       |                     
            //   833d????????00       |                     

        $sequence_2 = { f0480fc113 e8???????? e8???????? 90 90 488d0584cf4e00 e8???????? }
            // n = 7, score = 100
            //   f0480fc113           | jne                 0x1b8
            //   e8????????           |                     
            //   e8????????           |                     
            //   90                   | dec                 eax
            //   90                   | mov                 ecx, eax
            //   488d0584cf4e00       | dec                 eax
            //   e8????????           |                     

        $sequence_3 = { 8b9a38010100 875958 90 bb01000000 488b742470 861e 488b8424a0000000 }
            // n = 7, score = 100
            //   8b9a38010100         | jne                 0x19df
            //   875958               | dec                 esp
            //   90                   | lea                 eax, [ebx + 1]
            //   bb01000000           | nop                 dword ptr [eax]
            //   488b742470           | dec                 esp
            //   861e                 | cmp                 esi, eax
            //   488b8424a0000000     | jae                 0x19d0

        $sequence_4 = { eb1d 440fb64c3418 4129d1 418d51cb 88543c18 418d50cb 88543418 }
            // n = 7, score = 100
            //   eb1d                 | lea                 eax, [0x1548f6]
            //   440fb64c3418         | dec                 eax
            //   4129d1               | mov                 ecx, ebx
            //   418d51cb             | dec                 eax
            //   88543c18             | mov                 ebx, esi
            //   418d50cb             | jae                 0x10b6
            //   88543418             | dec                 eax

        $sequence_5 = { eb1d 488d7808 488b8c24b8020000 e8???????? 488d3df4653a00 e8???????? e8???????? }
            // n = 7, score = 100
            //   eb1d                 | mov                 ecx, esi
            //   488d7808             | dec                 esp
            //   488b8c24b8020000     | mov                 esi, eax
            //   e8????????           |                     
            //   488d3df4653a00       | dec                 eax
            //   e8????????           |                     
            //   e8????????           |                     

        $sequence_6 = { eb0c 488d3d76133c00 e8???????? 90 e8???????? 48891d???????? 833d????????00 }
            // n = 7, score = 100
            //   eb0c                 | xor                 ecx, ecx
            //   488d3d76133c00       | dec                 eax
            //   e8????????           |                     
            //   90                   | mov                 ebx, dword ptr [edx + 0x18]
            //   e8????????           |                     
            //   48891d????????       |                     
            //   833d????????00       |                     

        $sequence_7 = { e8???????? e8???????? 4889c1 4889df 488d0589882c00 488b5c2430 0f1f4000 }
            // n = 7, score = 100
            //   e8????????           |                     
            //   e8????????           |                     
            //   4889c1               | dec                 esp
            //   4889df               | mov                 dword ptr [esp + 0x58], eax
            //   488d0589882c00       | dec                 eax
            //   488b5c2430           | lea                 eax, [0x2b8c86]
            //   0f1f4000             | dec                 ebp

        $sequence_8 = { f34d0fb8db ebd2 4889442438 4c89d8 e8???????? 488b4c2460 488b542430 }
            // n = 7, score = 100
            //   f34d0fb8db           | lea                 edi, [0x4019ea]
            //   ebd2                 | nop                 dword ptr [eax + eax]
            //   4889442438           | jne                 0x129
            //   4c89d8               | jmp                 0x12e
            //   e8????????           |                     
            //   488b4c2460           | dec                 eax
            //   488b542430           | lea                 edi, [0x4372ea]

        $sequence_9 = { eb11 488d7818 488b8c2408140000 e8???????? 488b8c2498050000 48894808 833d????????00 }
            // n = 7, score = 100
            //   eb11                 | dec                 eax
            //   488d7818             | mov                 ecx, dword ptr [esp + 0x18]
            //   488b8c2408140000     | dec                 eax
            //   e8????????           |                     
            //   488b8c2498050000     | mov                 ebx, dword ptr [esp + 0x28]
            //   48894808             | movsd               xmm0, qword ptr [esp + 0x58]
            //   833d????????00       |                     

    condition:
        7 of them and filesize < 11612160
}

rule win_darkbit_w0 {
meta:
        description = "Yara rule based of the DarkBit Ransomware code"
        author = "The BlackBerry Research & Intelligence team"
        date = "2023-02-14"
        last_modified = "2023-02-15"
        distribution = "TLP:White"
        version = "1.0"
        sha256 = "9107be160f7b639d68fe3670de58ed254d81de6aec9a41ad58d91aa814a247ff"
        md5 = "9880fae6551d1e9ee921f39751a6f3c0"
        malpedia_reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.darkbit"
        malpedia_version = "20230216"
        malpedia_rule_date = "20230216"
        malpedia_hash = ""
        malpedia_license = ""
        malpedia_sharing = "TLP:WHITE"

strings:
        $4538285_63 = { 9? 9? 9? 48 ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 ?? ?? ?? ?? 48 ?? ?? ?? ?? C6 ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? 66 ?? E8 ?? ?? ?? ?? 48 ?? ?? 84 ?? 0F 85 }
        $5891110_63 = { 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? 4C ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 4C ?? ?? ?? 48 ?? ?? ?? 48 ?? ?? 0F 1F ?? ?? ?? 48 ?? ?? 0F 8E }
        $7545077_63 = { 48 ?? ?? ?? ?? ?? ?? 0F 1F ?? ?? E8 ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 ?? ?? ?? ?? 48 ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? 48 ?? ?? 0F 84 }
        $5903045_63 = { 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? 48 ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? 4C ?? ?? 0F 1F ?? ?? ?? 48 ?? ?? 73 }
        $5127463_63 = { 48 ?? ?? ?? ?? 48 ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? 4C ?? ?? E8 ?? ?? ?? ?? 48 ?? ?? ?? ?? 4C ?? ?? ?? ?? 4C ?? ?? 0F 9E ?? 48 ?? ?? ?? ?? ?? ?? ?? 48 }
        $6072198_63 = { 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? 48 ?? ?? ?? ?? 9? 48 ?? ?? 0F 84 }
        $4935722_63 = { 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 84 ?? 0F 85 }
        $4976425_63 = { 41 ?? ?? ?? ?? 0F 11 ?? ?? ?? ?? ?? ?? 4F ?? ?? ?? 4D ?? ?? ?? 41 ?? ?? ?? 0F 11 ?? ?? ?? ?? ?? ?? 4F ?? ?? ?? 4D ?? ?? ?? 41 ?? ?? ?? 0F 11 ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? ?? 74 }
        $4527589_63 = { 48 ?? ?? ?? ?? 48 ?? ?? 0F B7 ?? ?? ?? 0F B7 ?? ?? ?? 4C ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 4C ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 4C ?? ?? ?? ?? ?? ?? ?? 9? 48 ?? ?? 7D }
        $4716056_63 = { 0F B6 ?? ?? ?? 0F B6 ?? 48 ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? 48 ?? ?? 48 ?? ?? 48 ?? ?? ?? ?? 48 ?? ?? 48 ?? ?? ?? 66 ?? ?? ?? ?? B8 ?? ?? ?? ?? 48 ?? ?? ?? ?? 48 ?? ?? ?? C3 }
        $5798030_63 = { 48 ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 0F 1F ?? ?? ?? E8 ?? ?? ?? ?? 48 ?? ?? ?? ?? 48 ?? ?? ?? ?? 9? 48 ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 ?? ?? ?? ?? 48 ?? ?? ?? 83 ?? ?? ?? ?? ?? ?? 75 }
        $6047533_63 = { 0F B6 ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 ?? ?? ?? ?? 48 ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 44 ?? ?? ?? ?? ?? 48 ?? ?? 48 }
        $7558727_62 = { 31 ?? 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? B9 ?? ?? ?? ?? BF ?? ?? ?? ?? E8 ?? ?? ?? ?? 0F 1F ?? 48 ?? ?? 0F 84 }
        $4266979_62 = { 48 ?? ?? ?? 48 ?? ?? 8B ?? ?? 48 ?? ?? ?? ?? 48 ?? ?? FF D? 48 ?? ?? ?? ?? 0F B6 ?? ?? 83 ?? ?? 88 ?? ?? 0F B6 ?? ?? BE ?? ?? ?? ?? 48 ?? ?? 48 ?? ?? ?? 48 ?? ?? 48 ?? ?? ?? ?? 66 ?? 74 }
        $5892010_62 = { 4B ?? ?? ?? 49 ?? ?? ?? 49 ?? ?? ?? ?? 49 ?? ?? ?? ?? 8B ?? ?? ?? ?? ?? ?? 4C ?? ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? 4C ?? ?? ?? ?? ?? ?? ?? 49 ?? ?? 0F 8F }
        $5132165_62 = { 48 ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? 9? E8 ?? ?? ?? ?? 48 ?? ?? ?? ?? 4C ?? ?? ?? ?? 4C ?? ?? 0F 9E ?? 48 ?? ?? ?? ?? 48 ?? ?? 48 ?? ?? ?? ?? EB }
        $6850214_62 = { 44 ?? ?? ?? ?? ?? 8B ?? 89 ?? ?? ?? 8B ?? ?? 89 ?? ?? ?? 8B ?? ?? 89 ?? ?? ?? 8B ?? ?? 89 ?? ?? ?? 0F 10 ?? ?? ?? 0F 11 ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? C3 }
        $4976188_62 = { 41 ?? ?? ?? ?? 0F 11 ?? ?? ?? ?? ?? ?? 4B ?? ?? ?? 48 ?? ?? ?? 0F 10 ?? 0F 11 ?? ?? ?? ?? ?? ?? 4B ?? ?? ?? 48 ?? ?? ?? 0F 10 ?? 0F 11 ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? ?? 0F 85 }
        $4610524_62 = { 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 ?? ?? 84 ?? 0F 85 }
        $6072616_61 = { 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? B9 ?? ?? ?? ?? 0F 1F ?? E8 ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? 48 ?? ?? ?? ?? 66 ?? ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? 0F 84 }
        $4442442_61 = { 4C ?? ?? ?? ?? 4C ?? ?? ?? ?? ?? ?? 44 ?? ?? ?? ?? ?? ?? ?? 45 ?? ?? ?? 41 ?? ?? ?? 41 ?? ?? ?? 47 ?? ?? ?? 45 ?? ?? ?? 41 ?? ?? ?? 44 ?? ?? ?? ?? 4C ?? ?? ?? ?? ?? ?? 45 ?? ?? 0F 8E }
        $4448822_61 = { 48 ?? ?? ?? ?? 0F 1F ?? ?? ?? E8 ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? 8B ?? 89 ?? C1 ?? ?? C1 ?? ?? 01 ?? C1 ?? ?? 41 ?? ?? C1 ?? ?? 29 ?? 85 ?? 0F 8C }
        $4726213_61 = { 48 ?? ?? ?? ?? 48 ?? ?? ?? ?? 40 ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? 48 ?? ?? 4C ?? ?? 4C ?? ?? E8 ?? ?? ?? ?? 4C ?? ?? ?? 48 ?? ?? ?? ?? 48 ?? ?? ?? ?? 0F B6 ?? ?? ?? 4C ?? ?? ?? ?? 48 }
        $5127401_61 = { 48 ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 ?? ?? ?? ?? 4C ?? ?? ?? ?? 4C ?? ?? 0F 9E ?? 48 ?? ?? ?? ?? 48 ?? ?? 48 ?? ?? ?? ?? EB }
        $4357770_61 = { 48 ?? ?? ?? 48 ?? ?? ?? ?? 48 ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? 0F 10 ?? ?? ?? ?? ?? 0F 11 ?? ?? ?? 0F 10 ?? ?? ?? ?? ?? 0F 11 ?? ?? ?? 31 ?? EB }
        $5046026_60 = { 48 ?? ?? ?? 48 ?? ?? ?? ?? 48 ?? ?? ?? ?? 48 ?? ?? ?? ?? 48 ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? 48 ?? ?? FF D? 66 ?? 48 ?? ?? ?? 0F 85 }
        $6918301_60 = { 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? 0F 10 ?? ?? ?? ?? ?? ?? 0F 11 ?? ?? 0F 10 ?? ?? ?? ?? ?? ?? 0F 11 ?? ?? 0F 10 ?? ?? ?? ?? ?? ?? 0F 11 ?? ?? 0F 10 ?? ?? ?? ?? ?? ?? 0F 11 ?? ?? EB }
        $5651196_60 = { 0F 1F ?? ?? E8 ?? ?? ?? ?? 9? 66 ?? ?? ?? ?? ?? ?? ?? ?? ?? C6 ?? ?? ?? ?? ?? ?? ?? C7 ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? 66 ?? ?? ?? ?? ?? ?? ?? ?? ?? C6 ?? ?? ?? ?? ?? ?? ?? 31 ?? EB }
        $5735857_60 = { E8 ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? 0F 1F ?? ?? E8 ?? ?? ?? ?? 83 ?? ?? ?? ?? ?? ?? 75 }
        $5058799_60 = { 48 ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 0F BA ?? ?? 73 }
        $4987306_60 = { 48 ?? ?? ?? ?? 48 ?? ?? ?? ?? 48 ?? ?? ?? 48 ?? ?? ?? ?? 48 ?? ?? ?? ?? 48 ?? ?? ?? ?? 48 ?? ?? ?? 81 E? ?? ?? ?? ?? 44 ?? ?? ?? ?? 41 ?? ?? ?? 4C ?? ?? 9? 0F B6 ?? 40 ?? ?? ?? 75 }
        $4491881_60 = { 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? 48 ?? ?? ?? 48 ?? ?? ?? 48 ?? ?? ?? ?? 66 ?? ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? 0F 82 }
        $5384124_60 = { 0F 1F ?? ?? E8 ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 ?? ?? ?? ?? ?? ?? 75 }
        $6212553_60 = { 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? 9? 48 ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 0F 1F ?? ?? 48 ?? ?? 0F 84 }
        $5991938_60 = { 4C ?? ?? 48 ?? ?? E8 ?? ?? ?? ?? 48 ?? ?? 0F 94 ?? 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 4C ?? ?? ?? ?? ?? ?? ?? 4C ?? ?? ?? ?? ?? ?? ?? 89 ?? 48 }
        $4975050_60 = { 48 ?? ?? ?? ?? ?? ?? ?? 0F 10 ?? 0F 11 ?? ?? ?? ?? ?? ?? 0F 10 ?? ?? 0F 11 ?? ?? ?? ?? ?? ?? 0F 10 ?? ?? 0F 11 ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 0F 1F ?? 48 ?? ?? ?? 0F 8F }
        $7558357_59 = { 31 ?? 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? B9 ?? ?? ?? ?? BF ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 ?? ?? 0F 84 }
        $5152831_59 = { 48 ?? ?? ?? ?? 48 ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? 48 ?? ?? 48 ?? ?? 0F 1F ?? ?? ?? E8 ?? ?? ?? ?? 48 ?? ?? ?? 48 ?? ?? ?? ?? 48 ?? ?? ?? ?? 48 ?? ?? 48 ?? ?? 48 }
        $4347563_59 = { 48 ?? ?? ?? ?? 66 ?? ?? ?? 48 ?? ?? 48 ?? ?? 48 ?? ?? 9? 9? 48 ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? 48 ?? ?? 48 ?? ?? ?? 66 ?? ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? 0F 83 }
        $6022661_59 = { 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 0F 1F ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 89 ?? 48 }
        $6139378_59 = { 88 ?? ?? ?? 44 ?? ?? ?? ?? ?? C6 ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? FF D? 48 ?? ?? ?? ?? 0F B6 ?? ?? ?? 48 ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? C3 }

    condition:
        uint16(0) == 0x5A4D and filesize < 10MB and all of them
}

rule win_darkbit_w1 {
    meta:
        author = "albertzsigovits"
        reference = "https://twitter.com/vxunderground/status/1624814604936249345"
        date = "2023-02-13"
        malpedia_reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.darkbit"
        malpedia_version = "20230216"
        malpedia_license = "CC BY-NC-SA 4.0"
        malpedia_sharing = "TLP:WHITE"
        malpedia_rule_date = "20230215"
        malpedia_hash = ""
        malpedia_license = ""
    strings:
        $note1 = "But, you can contact us via TOX messenger if you want to recover your files personally." ascii wide
        $note2 = "All your files are encrypted using AES-256 military grade algorithm." ascii wide
        $note3 = "They should pay for firing high-skilled experts." ascii wide
        $tor = "iw6v2p3cruy7tqfup3yl4dgt4pfibfa3ai4zgnu5df2q3hus3lm7c7ad.onion" ascii wide
    condition:
        2 of ($note*) or $tor
}

rule win_darkbit_w2 {
    meta:
        author = "albertzsigovits"
        date = "2023-02-16"
        filetype = "pe"
        threat = "Ransomware.DarkBit.Windows"
	    sha256 = "9107be160f7b639d68fe3670de58ed254d81de6aec9a41ad58d91aa814a247ff"
	    malpedia_reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.darkbit"
	    malpedia_version = "20230216"
	    malpedia_license = "CC BY-NC-SA 4.0"
	    malpedia_sharing = "TLP:WHITE"
        malpedia_rule_date = "20230215"
        malpedia_hash = ""
        malpedia_license = ""
    strings:
        $goinf = " Go buildinf:"
        $mingw = "Mingw-w64 runtime failure:"
        $cgo = "_cgo_dummy_export"

        $rstr1 = "Rstrtmgr.dll"
        $rstr2 = "RmStartSession"
        $rstr3 = "RmRegisterResources"
        $rstr4 = "RmGetList"
        $rstr5 = "RmShutdown"
        $rstr6 = "RmEndSession"

        $cfg1 = "\"names\":"
        $cfg2 = "\"limits\":"
        $cfg3 = "\"extensions\":"
        $cfg4 = "\"processes\":"
        $cfg5 = "\"hostnames\":"

        $db1 = "\"darkbit.jpg\":"
        $db2 = "\"recovery_darkbit.txt\":"
        $db3 = "\"Darkbit\":"
    condition:
        uint16(0) == 0x5A4D
        and uint32(uint32(0x3C)) == 0x00004550
        and (
                ( $goinf and $mingw and $cgo and 2 of ($rstr*) and 3 of ($cfg*) )
                or
                ( 2 of ($cfg*) and 1 of ($db*) )
        )
}

rule win_darkbit_w3 {
    meta:
        author = "albertzsigovits"
        date = "2023-02-16"
        filetype = "pe"
        threat = "Ransomware.DarkBit.Windows"
	    sha256 = "9107be160f7b639d68fe3670de58ed254d81de6aec9a41ad58d91aa814a247ff"
	    malpedia_reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.darkbit"
	    malpedia_version = "20230216"
	    malpedia_license = "CC BY-NC-SA 4.0"
	    malpedia_sharing = "TLP:WHITE"
        malpedia_rule_date = "20230215"
        malpedia_hash = ""
        malpedia_license = ""
    strings:
        $gob1 = {
                    45 88 47 ??                // mov byte [r15 + 1], r8b
                    90                        // nop
                    4C 8B 84 24 ?? ?? 00 00 // mov r8, qword [rsp + 0x88]
                    49 C1 E8 ??                // shr r8, 4
                    49 83 C7 ??                // add r15, 2
                    48 8B 44 24 ??            // mov rax, qword [rsp + 0x78]
                    4C 8B 8C 24 ?? ?? 00 00    // mov r9, qword [rsp + 0xb0]
                    48 89 D0                // mov rax, rdx
                    48 8B 94 24 ?? ?? 00 00    // mov rdx, qword [rsp + 0xc0]
                    4C 89 84 24 ?? ?? 00 00    // mov qword [rsp + 0x88], r8
                    41 ?? ?? ??                // and r8d, 0xf
                    49 
        }

        $gob2 = { 
                    48 89 84 24 ?? ?? 00 00    // mov qword ptr ss:[rsp+D0],rax
                    48 89 5C 24 ??            // mov qword ptr ss:[rsp+60],rbx
                    31 C0                    // xor eax,eax
                    48 8D 5C 24 ??            // lea rbx,qword ptr ss:[rsp+44]
                    B9 ?? 00 00 00            // mov ecx,6
        }
        
        $wyhash = {
                    4D 8B 88 ?? ?? 00 00            // mov r9, qword [r8 + 0xf0]
                    49 BA 2F 64 BD 78 64 1D 76 A0    // movabs r10, 0xa0761d6478bd642f
                    4D 01 D1                        // add r9, r10
                    49 BB DB 28 B4 A0 D1 7E 03 E7    // movabs r11, 0xe7037ed1a0b428db
                    4D 31 CB                        // xor r11, r9
        }

        $vss1 = {
                    48 8B 94 24 ?? ?? 00 00        // mov rdx,qword ptr ss:[rsp+C8] [rsp+C8]:"delete"
                    48 89 94 24 ?? ?? 00 00        // mov qword ptr ss:[rsp+138],rdx [rsp+138]:"delete"
                    48 8B 54 24 ??                // mov rdx,qword ptr ss:[rsp+58]
                    48 89 94 24 ?? ?? 00 00        // mov qword ptr ss:[rsp+140],rdx
                    48 8B 94 24 ?? ?? 00 00        // mov rdx,qword ptr ss:[rsp+F0] [rsp+F0]:"shadows"
                    48 89 94 24 ?? ?? 00 00        // mov qword ptr ss:[rsp+148],rdx [rsp+148]:"shadows"
                    48 8B 94 24 ?? ?? 00 00        // mov rdx,qword ptr ss:[rsp+80]
                    48 89 94 24 ?? ?? 00 00        // mov qword ptr ss:[rsp+150],rdx
                    48 8B 94 24 ?? ?? 00 00        // mov rdx,qword ptr ss:[rsp+C0] [rsp+C0]:"/all"
                    48 89 94 24 ?? ?? 00 00        // mov qword ptr ss:[rsp+158],rdx [rsp+158]:"/all"
                    48 8B 54 24 ??                // mov rdx,qword ptr ss:[rsp+50]
                    48 89 94 24 ?? ?? 00 00        // mov qword ptr ss:[rsp+160],rdx
                    48 89 84 24 ?? ?? 00 00        // mov qword ptr ss:[rsp+168],rax [rsp+168]:"/Quiet"
                    48 89 9C 24 ?? ?? 00 00        // mov qword ptr ss:[rsp+170],rbx
                    48 8B 84 24 ?? ?? 00 00        // mov rax,qword ptr ss:[rsp+D0] [rsp+D0]:"vssadmin.exe"
                    48 8B 5C 24 ??                // mov rbx,qword ptr ss:[rsp+60]
                    48 8D 8C 24 ?? ?? 00 00        // lea rcx,qword ptr ss:[rsp+138] [rsp+138]:"delete"
        }

        $vss2 = {
                    48 BA CB BB 16 11 B4 B1 42 AD    // mov rdx,AD42B1B41116BBCB
                    48 89 94 24 ?? ?? 00 00         // mov qword ptr ss:[rsp+B1],rdx
                    48 BA AD 6D A1 5B 11 15 7B 7B    // mov rdx,7B7B15115BA16DAD
                    48 89 94 24 ?? ?? 00 00            // mov qword ptr ss:[rsp+B8],rdx
                    48 BA 9D C8 65 70 D0 DC 2B C3    // mov rdx,C32BDCD07065C89D
                    48 89 94 24 ?? ?? 00 00            // mov qword ptr ss:[rsp+A2],rdx
                    48 BA C3 4D C5 3E 7D 70 0F 1E    // mov rdx,1E0F707D3EC54DC3
                    48 89 94 24 ?? ?? 00 00            // mov qword ptr ss:[rsp+A9],rdx
        }

    condition:
        uint16(0) == 0x5A4D
        and uint32(uint32(0x3C)) == 0x00004550
        and 3 of them
}