rule win_darkbit_auto {

    meta:
        author = "Felix Bilstein - yara-signator at cocacoding dot com"
        date = "2023-07-11"
        version = "1"
        description = "Detects win.darkbit."
        info = "autogenerated rule brought to you by yara-signator"
        tool = "yara-signator v0.6.0"
        signator_config = "callsandjumps;datarefs;binvalue"
        malpedia_reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.darkbit"
        malpedia_rule_date = "20230705"
        malpedia_hash = "42d0574f4405bd7d2b154d321d345acb18834a41"
        malpedia_version = "20230715"
        malpedia_license = "CC BY-SA 4.0"
        malpedia_sharing = "TLP:WHITE"

    /* DISCLAIMER
     * The strings used in this rule have been automatically selected from the
     * disassembly of memory dumps and unpacked files, using YARA-Signator.
     * The code and documentation is published here:
     * https://github.com/fxb-cocacoding/yara-signator
     * As Malpedia is used as data source, please note that for a given
     * number of families, only single samples are documented.
     * This likely impacts the degree of generalization these rules will offer.
     * Take the described generation method also into consideration when you
     * apply the rules in your use cases and assign them confidence levels.
     */


    strings:
        $sequence_0 = { b92d000000 e8???????? 4889f0 b93e000000 e8???????? 90 90 }
            // n = 7, score = 100
            //   b92d000000           | dec                 eax
            //   e8????????           |                     
            //   4889f0               | mov                 edx, dword ptr [esp + 0x50]
            //   b93e000000           | dec                 eax
            //   e8????????           |                     
            //   90                   | mov                 ebx, dword ptr [esp + 0xc0]
            //   90                   | dec                 eax

        $sequence_1 = { eb1d 488d7808 488b8c2450160000 e8???????? 488d3de0843f00 e8???????? e8???????? }
            // n = 7, score = 100
            //   eb1d                 | dec                 eax
            //   488d7808             | mov                 eax, 0x97043f3c
            //   488b8c2450160000     | cmp                 eax, 0x894826b6
            //   e8????????           |                     
            //   488d3de0843f00       | inc                 esp
            //   e8????????           |                     
            //   e8????????           |                     

        $sequence_2 = { eb1c 4889c7 488b8c24801d0000 e8???????? 488d3d57de2100 e8???????? 6690 }
            // n = 7, score = 100
            //   eb1c                 | mov                 dword ptr [esp + 0xb0], eax
            //   4889c7               | dec                 eax
            //   488b8c24801d0000     | mov                 dword ptr [esp + 0x28], ebx
            //   e8????????           |                     
            //   488d3d57de2100       | nop                 
            //   e8????????           |                     
            //   6690                 | dec                 eax

        $sequence_3 = { e8???????? 4885c0 0f85cd000000 31c0 488b9c2438070000 488b8c2488010000 e8???????? }
            // n = 7, score = 100
            //   e8????????           |                     
            //   4885c0               | mov                 dword ptr [eax + 0x18], ecx
            //   0f85cd000000         | jmp                 0x1c14
            //   31c0                 | dec                 eax
            //   488b9c2438070000     | lea                 edi, [eax + 0x18]
            //   488b8c2488010000     | dec                 eax
            //   e8????????           |                     

        $sequence_4 = { eb17 803900 7409 48c7c2ffffffff eb09 ba01000000 0f1f4000 }
            // n = 7, score = 100
            //   eb17                 | dec                 eax
            //   803900               | and                 edx, ecx
            //   7409                 | dec                 eax
            //   48c7c2ffffffff       | lea                 ebx, [esp + edx + 0x58]
            //   eb09                 | dec                 eax
            //   ba01000000           | neg                 esi
            //   0f1f4000             | xor                 eax, eax

        $sequence_5 = { eb0c 488d3dfc074000 e8???????? 48ba34192a9f871b384d 48899424590a0000 48ba1b384db247181beb 488994245e0a0000 }
            // n = 7, score = 100
            //   eb0c                 | dec                 eax
            //   488d3dfc074000       | mov                 ecx, dword ptr [esp + 0x12c0]
            //   e8????????           |                     
            //   48ba34192a9f871b384d     | dec    eax
            //   48899424590a0000     | mov                 dword ptr [eax + 0x18], ecx
            //   48ba1b384db247181beb     | jmp    0x3da
            //   488994245e0a0000     | dec                 eax

        $sequence_6 = { e8???????? 488d1553ce1800 48899424a8020000 48898424b0020000 488d053c6c2100 488b9c24a0020000 488b8c2420020000 }
            // n = 7, score = 100
            //   e8????????           |                     
            //   488d1553ce1800       | dec                 ecx
            //   48899424a8020000     | mov                 eax, eax
            //   48898424b0020000     | dec                 ecx
            //   488d053c6c2100       | mov                 ecx, ebx
            //   488b9c24a0020000     | dec                 eax
            //   488b8c2420020000     | mov                 eax, dword ptr [esp + 0x258]

        $sequence_7 = { 4c8d4301 0f1f00 4c39c6 7331 488d0534df0c00 4889d9 4889fb }
            // n = 7, score = 100
            //   4c8d4301             | inc                 esp
            //   0f1f00               | mov                 byte ptr [esp + 0x5ca], ch
            //   4c39c6               | inc                 esp
            //   7331                 | mov                 byte ptr [esp + 0x6cd], ch
            //   488d0534df0c00       | inc                 esp
            //   4889d9               | movzx               ebp, byte ptr [esp + 0x192f]
            //   4889fb               | inc                 esp

        $sequence_8 = { eb05 b901000000 84c9 740e 488b442458 0f1f4000 e9???????? }
            // n = 7, score = 100
            //   eb05                 | dec                 esp
            //   b901000000           | mov                 esi, eax
            //   84c9                 | dec                 esp
            //   740e                 | lea                 eax, [ebx + 1]
            //   488b442458           | dec                 eax
            //   0f1f4000             | lea                 eax, [0x222fca]
            //   e9????????           |                     

        $sequence_9 = { e8???????? 488b542450 4c8b8424d0000000 410fb6441002 83e00f 488b0d???????? 4c8b0d???????? }
            // n = 7, score = 100
            //   e8????????           |                     
            //   488b542450           | mov                 dword ptr [esp + 0x1d0], eax
            //   4c8b8424d0000000     | dec                 eax
            //   410fb6441002         | mov                 ecx, ebx
            //   83e00f               | dec                 eax
            //   488b0d????????       |                     
            //   4c8b0d????????       |                     

    condition:
        7 of them and filesize < 11612160
}

rule win_darkbit_w0 {
meta:
        description = "Yara rule based of the DarkBit Ransomware code"
        author = "The BlackBerry Research & Intelligence team"
        date = "2023-02-14"
        last_modified = "2023-02-15"
        distribution = "TLP:White"
        version = "1.0"
        sha256 = "9107be160f7b639d68fe3670de58ed254d81de6aec9a41ad58d91aa814a247ff"
        md5 = "9880fae6551d1e9ee921f39751a6f3c0"
        malpedia_reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.darkbit"
        malpedia_version = "20230216"
        malpedia_rule_date = "20230216"
        malpedia_hash = ""
        malpedia_license = ""
        malpedia_sharing = "TLP:WHITE"

strings:
        $4538285_63 = { 9? 9? 9? 48 ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 ?? ?? ?? ?? 48 ?? ?? ?? ?? C6 ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? 66 ?? E8 ?? ?? ?? ?? 48 ?? ?? 84 ?? 0F 85 }
        $5891110_63 = { 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? 4C ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 4C ?? ?? ?? 48 ?? ?? ?? 48 ?? ?? 0F 1F ?? ?? ?? 48 ?? ?? 0F 8E }
        $7545077_63 = { 48 ?? ?? ?? ?? ?? ?? 0F 1F ?? ?? E8 ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 ?? ?? ?? ?? 48 ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? 48 ?? ?? 0F 84 }
        $5903045_63 = { 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? 48 ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? 4C ?? ?? 0F 1F ?? ?? ?? 48 ?? ?? 73 }
        $5127463_63 = { 48 ?? ?? ?? ?? 48 ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? 4C ?? ?? E8 ?? ?? ?? ?? 48 ?? ?? ?? ?? 4C ?? ?? ?? ?? 4C ?? ?? 0F 9E ?? 48 ?? ?? ?? ?? ?? ?? ?? 48 }
        $6072198_63 = { 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? 48 ?? ?? ?? ?? 9? 48 ?? ?? 0F 84 }
        $4935722_63 = { 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 84 ?? 0F 85 }
        $4976425_63 = { 41 ?? ?? ?? ?? 0F 11 ?? ?? ?? ?? ?? ?? 4F ?? ?? ?? 4D ?? ?? ?? 41 ?? ?? ?? 0F 11 ?? ?? ?? ?? ?? ?? 4F ?? ?? ?? 4D ?? ?? ?? 41 ?? ?? ?? 0F 11 ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? ?? 74 }
        $4527589_63 = { 48 ?? ?? ?? ?? 48 ?? ?? 0F B7 ?? ?? ?? 0F B7 ?? ?? ?? 4C ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 4C ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 4C ?? ?? ?? ?? ?? ?? ?? 9? 48 ?? ?? 7D }
        $4716056_63 = { 0F B6 ?? ?? ?? 0F B6 ?? 48 ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? 48 ?? ?? 48 ?? ?? 48 ?? ?? ?? ?? 48 ?? ?? 48 ?? ?? ?? 66 ?? ?? ?? ?? B8 ?? ?? ?? ?? 48 ?? ?? ?? ?? 48 ?? ?? ?? C3 }
        $5798030_63 = { 48 ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 0F 1F ?? ?? ?? E8 ?? ?? ?? ?? 48 ?? ?? ?? ?? 48 ?? ?? ?? ?? 9? 48 ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 ?? ?? ?? ?? 48 ?? ?? ?? 83 ?? ?? ?? ?? ?? ?? 75 }
        $6047533_63 = { 0F B6 ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 ?? ?? ?? ?? 48 ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 44 ?? ?? ?? ?? ?? 48 ?? ?? 48 }
        $7558727_62 = { 31 ?? 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? B9 ?? ?? ?? ?? BF ?? ?? ?? ?? E8 ?? ?? ?? ?? 0F 1F ?? 48 ?? ?? 0F 84 }
        $4266979_62 = { 48 ?? ?? ?? 48 ?? ?? 8B ?? ?? 48 ?? ?? ?? ?? 48 ?? ?? FF D? 48 ?? ?? ?? ?? 0F B6 ?? ?? 83 ?? ?? 88 ?? ?? 0F B6 ?? ?? BE ?? ?? ?? ?? 48 ?? ?? 48 ?? ?? ?? 48 ?? ?? 48 ?? ?? ?? ?? 66 ?? 74 }
        $5892010_62 = { 4B ?? ?? ?? 49 ?? ?? ?? 49 ?? ?? ?? ?? 49 ?? ?? ?? ?? 8B ?? ?? ?? ?? ?? ?? 4C ?? ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? 4C ?? ?? ?? ?? ?? ?? ?? 49 ?? ?? 0F 8F }
        $5132165_62 = { 48 ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? 9? E8 ?? ?? ?? ?? 48 ?? ?? ?? ?? 4C ?? ?? ?? ?? 4C ?? ?? 0F 9E ?? 48 ?? ?? ?? ?? 48 ?? ?? 48 ?? ?? ?? ?? EB }
        $6850214_62 = { 44 ?? ?? ?? ?? ?? 8B ?? 89 ?? ?? ?? 8B ?? ?? 89 ?? ?? ?? 8B ?? ?? 89 ?? ?? ?? 8B ?? ?? 89 ?? ?? ?? 0F 10 ?? ?? ?? 0F 11 ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? C3 }
        $4976188_62 = { 41 ?? ?? ?? ?? 0F 11 ?? ?? ?? ?? ?? ?? 4B ?? ?? ?? 48 ?? ?? ?? 0F 10 ?? 0F 11 ?? ?? ?? ?? ?? ?? 4B ?? ?? ?? 48 ?? ?? ?? 0F 10 ?? 0F 11 ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? ?? 0F 85 }
        $4610524_62 = { 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 ?? ?? 84 ?? 0F 85 }
        $6072616_61 = { 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? B9 ?? ?? ?? ?? 0F 1F ?? E8 ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? 48 ?? ?? ?? ?? 66 ?? ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? 0F 84 }
        $4442442_61 = { 4C ?? ?? ?? ?? 4C ?? ?? ?? ?? ?? ?? 44 ?? ?? ?? ?? ?? ?? ?? 45 ?? ?? ?? 41 ?? ?? ?? 41 ?? ?? ?? 47 ?? ?? ?? 45 ?? ?? ?? 41 ?? ?? ?? 44 ?? ?? ?? ?? 4C ?? ?? ?? ?? ?? ?? 45 ?? ?? 0F 8E }
        $4448822_61 = { 48 ?? ?? ?? ?? 0F 1F ?? ?? ?? E8 ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? 8B ?? 89 ?? C1 ?? ?? C1 ?? ?? 01 ?? C1 ?? ?? 41 ?? ?? C1 ?? ?? 29 ?? 85 ?? 0F 8C }
        $4726213_61 = { 48 ?? ?? ?? ?? 48 ?? ?? ?? ?? 40 ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? 48 ?? ?? 4C ?? ?? 4C ?? ?? E8 ?? ?? ?? ?? 4C ?? ?? ?? 48 ?? ?? ?? ?? 48 ?? ?? ?? ?? 0F B6 ?? ?? ?? 4C ?? ?? ?? ?? 48 }
        $5127401_61 = { 48 ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 ?? ?? ?? ?? 4C ?? ?? ?? ?? 4C ?? ?? 0F 9E ?? 48 ?? ?? ?? ?? 48 ?? ?? 48 ?? ?? ?? ?? EB }
        $4357770_61 = { 48 ?? ?? ?? 48 ?? ?? ?? ?? 48 ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? 0F 10 ?? ?? ?? ?? ?? 0F 11 ?? ?? ?? 0F 10 ?? ?? ?? ?? ?? 0F 11 ?? ?? ?? 31 ?? EB }
        $5046026_60 = { 48 ?? ?? ?? 48 ?? ?? ?? ?? 48 ?? ?? ?? ?? 48 ?? ?? ?? ?? 48 ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? 48 ?? ?? FF D? 66 ?? 48 ?? ?? ?? 0F 85 }
        $6918301_60 = { 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? 0F 10 ?? ?? ?? ?? ?? ?? 0F 11 ?? ?? 0F 10 ?? ?? ?? ?? ?? ?? 0F 11 ?? ?? 0F 10 ?? ?? ?? ?? ?? ?? 0F 11 ?? ?? 0F 10 ?? ?? ?? ?? ?? ?? 0F 11 ?? ?? EB }
        $5651196_60 = { 0F 1F ?? ?? E8 ?? ?? ?? ?? 9? 66 ?? ?? ?? ?? ?? ?? ?? ?? ?? C6 ?? ?? ?? ?? ?? ?? ?? C7 ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? 66 ?? ?? ?? ?? ?? ?? ?? ?? ?? C6 ?? ?? ?? ?? ?? ?? ?? 31 ?? EB }
        $5735857_60 = { E8 ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? 0F 1F ?? ?? E8 ?? ?? ?? ?? 83 ?? ?? ?? ?? ?? ?? 75 }
        $5058799_60 = { 48 ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 0F BA ?? ?? 73 }
        $4987306_60 = { 48 ?? ?? ?? ?? 48 ?? ?? ?? ?? 48 ?? ?? ?? 48 ?? ?? ?? ?? 48 ?? ?? ?? ?? 48 ?? ?? ?? ?? 48 ?? ?? ?? 81 E? ?? ?? ?? ?? 44 ?? ?? ?? ?? 41 ?? ?? ?? 4C ?? ?? 9? 0F B6 ?? 40 ?? ?? ?? 75 }
        $4491881_60 = { 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? 48 ?? ?? ?? 48 ?? ?? ?? 48 ?? ?? ?? ?? 66 ?? ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? 0F 82 }
        $5384124_60 = { 0F 1F ?? ?? E8 ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 ?? ?? ?? ?? ?? ?? 75 }
        $6212553_60 = { 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? 9? 48 ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 0F 1F ?? ?? 48 ?? ?? 0F 84 }
        $5991938_60 = { 4C ?? ?? 48 ?? ?? E8 ?? ?? ?? ?? 48 ?? ?? 0F 94 ?? 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 4C ?? ?? ?? ?? ?? ?? ?? 4C ?? ?? ?? ?? ?? ?? ?? 89 ?? 48 }
        $4975050_60 = { 48 ?? ?? ?? ?? ?? ?? ?? 0F 10 ?? 0F 11 ?? ?? ?? ?? ?? ?? 0F 10 ?? ?? 0F 11 ?? ?? ?? ?? ?? ?? 0F 10 ?? ?? 0F 11 ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 0F 1F ?? 48 ?? ?? ?? 0F 8F }
        $7558357_59 = { 31 ?? 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? B9 ?? ?? ?? ?? BF ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 ?? ?? 0F 84 }
        $5152831_59 = { 48 ?? ?? ?? ?? 48 ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? 48 ?? ?? 48 ?? ?? 0F 1F ?? ?? ?? E8 ?? ?? ?? ?? 48 ?? ?? ?? 48 ?? ?? ?? ?? 48 ?? ?? ?? ?? 48 ?? ?? 48 ?? ?? 48 }
        $4347563_59 = { 48 ?? ?? ?? ?? 66 ?? ?? ?? 48 ?? ?? 48 ?? ?? 48 ?? ?? 9? 9? 48 ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? 48 ?? ?? 48 ?? ?? ?? 66 ?? ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? 0F 83 }
        $6022661_59 = { 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 0F 1F ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 89 ?? 48 }
        $6139378_59 = { 88 ?? ?? ?? 44 ?? ?? ?? ?? ?? C6 ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? FF D? 48 ?? ?? ?? ?? 0F B6 ?? ?? ?? 48 ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? C3 }

    condition:
        uint16(0) == 0x5A4D and filesize < 10MB and all of them
}

rule win_darkbit_w1 {
    meta:
        author = "albertzsigovits"
        reference = "https://twitter.com/vxunderground/status/1624814604936249345"
        date = "2023-02-13"
        malpedia_reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.darkbit"
        malpedia_version = "20230216"
        malpedia_license = "CC BY-NC-SA 4.0"
        malpedia_sharing = "TLP:WHITE"
        malpedia_rule_date = "20230215"
        malpedia_hash = ""
        malpedia_license = ""
    strings:
        $note1 = "But, you can contact us via TOX messenger if you want to recover your files personally." ascii wide
        $note2 = "All your files are encrypted using AES-256 military grade algorithm." ascii wide
        $note3 = "They should pay for firing high-skilled experts." ascii wide
        $tor = "iw6v2p3cruy7tqfup3yl4dgt4pfibfa3ai4zgnu5df2q3hus3lm7c7ad.onion" ascii wide
    condition:
        2 of ($note*) or $tor
}

rule win_darkbit_w2 {
    meta:
        author = "albertzsigovits"
        date = "2023-02-16"
        filetype = "pe"
        threat = "Ransomware.DarkBit.Windows"
	    sha256 = "9107be160f7b639d68fe3670de58ed254d81de6aec9a41ad58d91aa814a247ff"
	    malpedia_reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.darkbit"
	    malpedia_version = "20230216"
	    malpedia_license = "CC BY-NC-SA 4.0"
	    malpedia_sharing = "TLP:WHITE"
        malpedia_rule_date = "20230215"
        malpedia_hash = ""
        malpedia_license = ""
    strings:
        $goinf = " Go buildinf:"
        $mingw = "Mingw-w64 runtime failure:"
        $cgo = "_cgo_dummy_export"

        $rstr1 = "Rstrtmgr.dll"
        $rstr2 = "RmStartSession"
        $rstr3 = "RmRegisterResources"
        $rstr4 = "RmGetList"
        $rstr5 = "RmShutdown"
        $rstr6 = "RmEndSession"

        $cfg1 = "\"names\":"
        $cfg2 = "\"limits\":"
        $cfg3 = "\"extensions\":"
        $cfg4 = "\"processes\":"
        $cfg5 = "\"hostnames\":"

        $db1 = "\"darkbit.jpg\":"
        $db2 = "\"recovery_darkbit.txt\":"
        $db3 = "\"Darkbit\":"
    condition:
        uint16(0) == 0x5A4D
        and uint32(uint32(0x3C)) == 0x00004550
        and (
                ( $goinf and $mingw and $cgo and 2 of ($rstr*) and 3 of ($cfg*) )
                or
                ( 2 of ($cfg*) and 1 of ($db*) )
        )
}

rule win_darkbit_w3 {
    meta:
        author = "albertzsigovits"
        date = "2023-02-16"
        filetype = "pe"
        threat = "Ransomware.DarkBit.Windows"
	    sha256 = "9107be160f7b639d68fe3670de58ed254d81de6aec9a41ad58d91aa814a247ff"
	    malpedia_reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.darkbit"
	    malpedia_version = "20230216"
	    malpedia_license = "CC BY-NC-SA 4.0"
	    malpedia_sharing = "TLP:WHITE"
        malpedia_rule_date = "20230215"
        malpedia_hash = ""
        malpedia_license = ""
    strings:
        $gob1 = {
                    45 88 47 ??                // mov byte [r15 + 1], r8b
                    90                        // nop
                    4C 8B 84 24 ?? ?? 00 00 // mov r8, qword [rsp + 0x88]
                    49 C1 E8 ??                // shr r8, 4
                    49 83 C7 ??                // add r15, 2
                    48 8B 44 24 ??            // mov rax, qword [rsp + 0x78]
                    4C 8B 8C 24 ?? ?? 00 00    // mov r9, qword [rsp + 0xb0]
                    48 89 D0                // mov rax, rdx
                    48 8B 94 24 ?? ?? 00 00    // mov rdx, qword [rsp + 0xc0]
                    4C 89 84 24 ?? ?? 00 00    // mov qword [rsp + 0x88], r8
                    41 ?? ?? ??                // and r8d, 0xf
                    49 
        }

        $gob2 = { 
                    48 89 84 24 ?? ?? 00 00    // mov qword ptr ss:[rsp+D0],rax
                    48 89 5C 24 ??            // mov qword ptr ss:[rsp+60],rbx
                    31 C0                    // xor eax,eax
                    48 8D 5C 24 ??            // lea rbx,qword ptr ss:[rsp+44]
                    B9 ?? 00 00 00            // mov ecx,6
        }
        
        $wyhash = {
                    4D 8B 88 ?? ?? 00 00            // mov r9, qword [r8 + 0xf0]
                    49 BA 2F 64 BD 78 64 1D 76 A0    // movabs r10, 0xa0761d6478bd642f
                    4D 01 D1                        // add r9, r10
                    49 BB DB 28 B4 A0 D1 7E 03 E7    // movabs r11, 0xe7037ed1a0b428db
                    4D 31 CB                        // xor r11, r9
        }

        $vss1 = {
                    48 8B 94 24 ?? ?? 00 00        // mov rdx,qword ptr ss:[rsp+C8] [rsp+C8]:"delete"
                    48 89 94 24 ?? ?? 00 00        // mov qword ptr ss:[rsp+138],rdx [rsp+138]:"delete"
                    48 8B 54 24 ??                // mov rdx,qword ptr ss:[rsp+58]
                    48 89 94 24 ?? ?? 00 00        // mov qword ptr ss:[rsp+140],rdx
                    48 8B 94 24 ?? ?? 00 00        // mov rdx,qword ptr ss:[rsp+F0] [rsp+F0]:"shadows"
                    48 89 94 24 ?? ?? 00 00        // mov qword ptr ss:[rsp+148],rdx [rsp+148]:"shadows"
                    48 8B 94 24 ?? ?? 00 00        // mov rdx,qword ptr ss:[rsp+80]
                    48 89 94 24 ?? ?? 00 00        // mov qword ptr ss:[rsp+150],rdx
                    48 8B 94 24 ?? ?? 00 00        // mov rdx,qword ptr ss:[rsp+C0] [rsp+C0]:"/all"
                    48 89 94 24 ?? ?? 00 00        // mov qword ptr ss:[rsp+158],rdx [rsp+158]:"/all"
                    48 8B 54 24 ??                // mov rdx,qword ptr ss:[rsp+50]
                    48 89 94 24 ?? ?? 00 00        // mov qword ptr ss:[rsp+160],rdx
                    48 89 84 24 ?? ?? 00 00        // mov qword ptr ss:[rsp+168],rax [rsp+168]:"/Quiet"
                    48 89 9C 24 ?? ?? 00 00        // mov qword ptr ss:[rsp+170],rbx
                    48 8B 84 24 ?? ?? 00 00        // mov rax,qword ptr ss:[rsp+D0] [rsp+D0]:"vssadmin.exe"
                    48 8B 5C 24 ??                // mov rbx,qword ptr ss:[rsp+60]
                    48 8D 8C 24 ?? ?? 00 00        // lea rcx,qword ptr ss:[rsp+138] [rsp+138]:"delete"
        }

        $vss2 = {
                    48 BA CB BB 16 11 B4 B1 42 AD    // mov rdx,AD42B1B41116BBCB
                    48 89 94 24 ?? ?? 00 00         // mov qword ptr ss:[rsp+B1],rdx
                    48 BA AD 6D A1 5B 11 15 7B 7B    // mov rdx,7B7B15115BA16DAD
                    48 89 94 24 ?? ?? 00 00            // mov qword ptr ss:[rsp+B8],rdx
                    48 BA 9D C8 65 70 D0 DC 2B C3    // mov rdx,C32BDCD07065C89D
                    48 89 94 24 ?? ?? 00 00            // mov qword ptr ss:[rsp+A2],rdx
                    48 BA C3 4D C5 3E 7D 70 0F 1E    // mov rdx,1E0F707D3EC54DC3
                    48 89 94 24 ?? ?? 00 00            // mov qword ptr ss:[rsp+A9],rdx
        }

    condition:
        uint16(0) == 0x5A4D
        and uint32(uint32(0x3C)) == 0x00004550
        and 3 of them
}