There is no description at this point.
rule win_darkbit_auto { meta: author = "Felix Bilstein - yara-signator at cocacoding dot com" date = "2026-05-04" version = "1" description = "Detects win.darkbit." info = "autogenerated rule brought to you by yara-signator" tool = "yara-signator v0.6.0" signator_config = "callsandjumps;datarefs;binvalue" malpedia_reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.darkbit" malpedia_rule_date = "20260422" malpedia_hash = "a182e35da64e6d71cb55f125c4d4225196523f14" malpedia_version = "20260504" malpedia_license = "CC BY-SA 4.0" malpedia_sharing = "TLP:WHITE" /* DISCLAIMER * The strings used in this rule have been automatically selected from the * disassembly of memory dumps and unpacked files, using YARA-Signator. * The code and documentation is published here: * https://github.com/fxb-cocacoding/yara-signator * As Malpedia is used as data source, please note that for a given * number of families, only single samples are documented. * This likely impacts the degree of generalization these rules will offer. * Take the described generation method also into consideration when you * apply the rules in your use cases and assign them confidence levels. */ strings: $sequence_0 = { eb1c 4889c7 488b8c24f8250000 e8???????? 488d3d1b882200 e8???????? e8???????? } // n = 7, score = 100 // eb1c | dec eax // 4889c7 | mov ecx, dword ptr [esp + 0x38] // 488b8c24f8250000 | nop // e8???????? | // 488d3d1b882200 | test bl, bl // e8???????? | // e8???????? | $sequence_1 = { e8???????? 488d3d4bb92200 e8???????? e8???????? 4889842488280000 48899c24580c0000 488b0d???????? } // n = 7, score = 100 // e8???????? | // 488d3d4bb92200 | dec eax // e8???????? | // e8???????? | // 4889842488280000 | mov ebx, dword ptr [esp + 0x38] // 48899c24580c0000 | nop dword ptr [eax + eax] // 488b0d???????? | $sequence_2 = { ffd0 488b8c24f8000000 488b9c2410010000 488bbc2400010000 488b842408010000 488bac2420010000 4881c428010000 } // n = 7, score = 100 // ffd0 | mov edi, ebx // 488b8c24f8000000 | dec eax // 488b9c2410010000 | lea eax, [0x2cbaa9] // 488bbc2400010000 | dec eax // 488b842408010000 | mov ebx, dword ptr [esp + 0x40] // 488bac2420010000 | nop dword ptr [eax] // 4881c428010000 | dec eax $sequence_3 = { e8???????? 4889842478070000 4889d9 488b9c2490000000 31c0 e8???????? 48898424f80a0000 } // n = 7, score = 100 // e8???????? | // 4889842478070000 | mov ecx, 0x1a // 4889d9 | xor edx, edx // 488b9c2490000000 | xor ebx, ebx // 31c0 | xor esi, esi // e8???????? | // 48898424f80a0000 | xor edi, edi $sequence_4 = { c6041fc8 b903000000 e9???????? 4983f805 7545 4c8d4301 4c39c6 } // n = 7, score = 100 // c6041fc8 | dec eax // b903000000 | cmp edx, 4 // e9???????? | // 4983f805 | jae 0x2377 // 7545 | mov edi, esi // 4c8d4301 | xor esi, edx // 4c39c6 | lea esi, [eax + esi] $sequence_5 = { 4983f802 729b e9???????? 48894c2470 4889442460 48895c2468 488d442430 } // n = 7, score = 100 // 4983f802 | and al, 0x1a // 729b | dec ecx // e9???????? | // 48894c2470 | cmp esp, dword ptr [esi + 0x10] // 4889442460 | jbe 0x1a7 // 48895c2468 | dec eax // 488d442430 | sub esp, 0x38 $sequence_6 = { eb7d 488d5104 4889542468 488d05453c1700 4889cb 4889d1 e8???????? } // n = 7, score = 100 // eb7d | dec eax // 488d5104 | mov dword ptr [esp + 0x4b0], eax // 4889542468 | dec eax // 488d05453c1700 | mov dword ptr [esp + 0x158], ebx // 4889cb | dec eax // 4889d1 | mov dword ptr [esp + 0x3e0], ecx // e8???????? | $sequence_7 = { e8???????? 48899c24e0010000 4889d8 48c7c3ffffffff e8???????? 48898424e0030000 48899c24b0050000 } // n = 7, score = 100 // e8???????? | // 48899c24e0010000 | jne 0x94b // 4889d8 | mov ecx, 0x186a0 // 48c7c3ffffffff | nop // e8???????? | // 48898424e0030000 | movzx edx, byte ptr [esp + ecx + 0x16d] // 48899c24b0050000 | movzx esi, byte ptr [esp + ecx + 0x14c] $sequence_8 = { e9???????? 4889842490010000 440f11bc24d0000000 440f11bc24d8000000 440f11bc24e8000000 488d8c24d0000000 48890c24 } // n = 7, score = 100 // e9???????? | // 4889842490010000 | mov dword ptr [esp + 8], eax // 440f11bc24d0000000 | dec eax // 440f11bc24d8000000 | mov ebx, eax // 440f11bc24e8000000 | dec eax // 488d8c24d0000000 | lea eax, [0x2a516c] // 48890c24 | dec eax $sequence_9 = { eb23 488b8424e8000000 48ffc0 488b942480010000 488bb424500b0000 488bbc24480b0000 4839d0 } // n = 7, score = 100 // eb23 | mov word ptr [esp + 0xf8], 0x3d97 // 488b8424e8000000 | mov byte ptr [esp + 0xfa], 0x70 // 48ffc0 | mov word ptr [esp + 0xf5], 0x70d0 // 488b942480010000 | mov byte ptr [esp + 0xf7], 0x24 // 488bb424500b0000 | xor ecx, ecx // 488bbc24480b0000 | nop // 4839d0 | mov word ptr [esp + 0x1fa], 0x3f2d condition: 7 of them and filesize < 11612160 }
rule win_darkbit_w0 { meta: description = "Yara rule based of the DarkBit Ransomware code" author = "The BlackBerry Research & Intelligence team" date = "2023-02-14" last_modified = "2023-02-15" distribution = "TLP:White" version = "1.0" sha256 = "9107be160f7b639d68fe3670de58ed254d81de6aec9a41ad58d91aa814a247ff" md5 = "9880fae6551d1e9ee921f39751a6f3c0" malpedia_reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.darkbit" malpedia_version = "20230216" malpedia_rule_date = "20230216" malpedia_hash = "" malpedia_license = "" malpedia_sharing = "TLP:WHITE" strings: $4538285_63 = { 9? 9? 9? 48 ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 ?? ?? ?? ?? 48 ?? ?? ?? ?? C6 ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? 66 ?? E8 ?? ?? ?? ?? 48 ?? ?? 84 ?? 0F 85 } $5891110_63 = { 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? 4C ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 4C ?? ?? ?? 48 ?? ?? ?? 48 ?? ?? 0F 1F ?? ?? ?? 48 ?? ?? 0F 8E } $7545077_63 = { 48 ?? ?? ?? ?? ?? ?? 0F 1F ?? ?? E8 ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 ?? ?? ?? ?? 48 ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? 48 ?? ?? 0F 84 } $5903045_63 = { 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? 48 ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? 4C ?? ?? 0F 1F ?? ?? ?? 48 ?? ?? 73 } $5127463_63 = { 48 ?? ?? ?? ?? 48 ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? 4C ?? ?? E8 ?? ?? ?? ?? 48 ?? ?? ?? ?? 4C ?? ?? ?? ?? 4C ?? ?? 0F 9E ?? 48 ?? ?? ?? ?? ?? ?? ?? 48 } $6072198_63 = { 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? 48 ?? ?? ?? ?? 9? 48 ?? ?? 0F 84 } $4935722_63 = { 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 84 ?? 0F 85 } $4976425_63 = { 41 ?? ?? ?? ?? 0F 11 ?? ?? ?? ?? ?? ?? 4F ?? ?? ?? 4D ?? ?? ?? 41 ?? ?? ?? 0F 11 ?? ?? ?? ?? ?? ?? 4F ?? ?? ?? 4D ?? ?? ?? 41 ?? ?? ?? 0F 11 ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? ?? 74 } $4527589_63 = { 48 ?? ?? ?? ?? 48 ?? ?? 0F B7 ?? ?? ?? 0F B7 ?? ?? ?? 4C ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 4C ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 4C ?? ?? ?? ?? ?? ?? ?? 9? 48 ?? ?? 7D } $4716056_63 = { 0F B6 ?? ?? ?? 0F B6 ?? 48 ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? 48 ?? ?? 48 ?? ?? 48 ?? ?? ?? ?? 48 ?? ?? 48 ?? ?? ?? 66 ?? ?? ?? ?? B8 ?? ?? ?? ?? 48 ?? ?? ?? ?? 48 ?? ?? ?? C3 } $5798030_63 = { 48 ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 0F 1F ?? ?? ?? E8 ?? ?? ?? ?? 48 ?? ?? ?? ?? 48 ?? ?? ?? ?? 9? 48 ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 ?? ?? ?? ?? 48 ?? ?? ?? 83 ?? ?? ?? ?? ?? ?? 75 } $6047533_63 = { 0F B6 ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 ?? ?? ?? ?? 48 ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 44 ?? ?? ?? ?? ?? 48 ?? ?? 48 } $7558727_62 = { 31 ?? 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? B9 ?? ?? ?? ?? BF ?? ?? ?? ?? E8 ?? ?? ?? ?? 0F 1F ?? 48 ?? ?? 0F 84 } $4266979_62 = { 48 ?? ?? ?? 48 ?? ?? 8B ?? ?? 48 ?? ?? ?? ?? 48 ?? ?? FF D? 48 ?? ?? ?? ?? 0F B6 ?? ?? 83 ?? ?? 88 ?? ?? 0F B6 ?? ?? BE ?? ?? ?? ?? 48 ?? ?? 48 ?? ?? ?? 48 ?? ?? 48 ?? ?? ?? ?? 66 ?? 74 } $5892010_62 = { 4B ?? ?? ?? 49 ?? ?? ?? 49 ?? ?? ?? ?? 49 ?? ?? ?? ?? 8B ?? ?? ?? ?? ?? ?? 4C ?? ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? 4C ?? ?? ?? ?? ?? ?? ?? 49 ?? ?? 0F 8F } $5132165_62 = { 48 ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? 9? E8 ?? ?? ?? ?? 48 ?? ?? ?? ?? 4C ?? ?? ?? ?? 4C ?? ?? 0F 9E ?? 48 ?? ?? ?? ?? 48 ?? ?? 48 ?? ?? ?? ?? EB } $6850214_62 = { 44 ?? ?? ?? ?? ?? 8B ?? 89 ?? ?? ?? 8B ?? ?? 89 ?? ?? ?? 8B ?? ?? 89 ?? ?? ?? 8B ?? ?? 89 ?? ?? ?? 0F 10 ?? ?? ?? 0F 11 ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? C3 } $4976188_62 = { 41 ?? ?? ?? ?? 0F 11 ?? ?? ?? ?? ?? ?? 4B ?? ?? ?? 48 ?? ?? ?? 0F 10 ?? 0F 11 ?? ?? ?? ?? ?? ?? 4B ?? ?? ?? 48 ?? ?? ?? 0F 10 ?? 0F 11 ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? ?? 0F 85 } $4610524_62 = { 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 ?? ?? 84 ?? 0F 85 } $6072616_61 = { 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? B9 ?? ?? ?? ?? 0F 1F ?? E8 ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? 48 ?? ?? ?? ?? 66 ?? ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? 0F 84 } $4442442_61 = { 4C ?? ?? ?? ?? 4C ?? ?? ?? ?? ?? ?? 44 ?? ?? ?? ?? ?? ?? ?? 45 ?? ?? ?? 41 ?? ?? ?? 41 ?? ?? ?? 47 ?? ?? ?? 45 ?? ?? ?? 41 ?? ?? ?? 44 ?? ?? ?? ?? 4C ?? ?? ?? ?? ?? ?? 45 ?? ?? 0F 8E } $4448822_61 = { 48 ?? ?? ?? ?? 0F 1F ?? ?? ?? E8 ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? 8B ?? 89 ?? C1 ?? ?? C1 ?? ?? 01 ?? C1 ?? ?? 41 ?? ?? C1 ?? ?? 29 ?? 85 ?? 0F 8C } $4726213_61 = { 48 ?? ?? ?? ?? 48 ?? ?? ?? ?? 40 ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? 48 ?? ?? 4C ?? ?? 4C ?? ?? E8 ?? ?? ?? ?? 4C ?? ?? ?? 48 ?? ?? ?? ?? 48 ?? ?? ?? ?? 0F B6 ?? ?? ?? 4C ?? ?? ?? ?? 48 } $5127401_61 = { 48 ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 ?? ?? ?? ?? 4C ?? ?? ?? ?? 4C ?? ?? 0F 9E ?? 48 ?? ?? ?? ?? 48 ?? ?? 48 ?? ?? ?? ?? EB } $4357770_61 = { 48 ?? ?? ?? 48 ?? ?? ?? ?? 48 ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? 0F 10 ?? ?? ?? ?? ?? 0F 11 ?? ?? ?? 0F 10 ?? ?? ?? ?? ?? 0F 11 ?? ?? ?? 31 ?? EB } $5046026_60 = { 48 ?? ?? ?? 48 ?? ?? ?? ?? 48 ?? ?? ?? ?? 48 ?? ?? ?? ?? 48 ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? 48 ?? ?? FF D? 66 ?? 48 ?? ?? ?? 0F 85 } $6918301_60 = { 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? 0F 10 ?? ?? ?? ?? ?? ?? 0F 11 ?? ?? 0F 10 ?? ?? ?? ?? ?? ?? 0F 11 ?? ?? 0F 10 ?? ?? ?? ?? ?? ?? 0F 11 ?? ?? 0F 10 ?? ?? ?? ?? ?? ?? 0F 11 ?? ?? EB } $5651196_60 = { 0F 1F ?? ?? E8 ?? ?? ?? ?? 9? 66 ?? ?? ?? ?? ?? ?? ?? ?? ?? C6 ?? ?? ?? ?? ?? ?? ?? C7 ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? 66 ?? ?? ?? ?? ?? ?? ?? ?? ?? C6 ?? ?? ?? ?? ?? ?? ?? 31 ?? EB } $5735857_60 = { E8 ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? 0F 1F ?? ?? E8 ?? ?? ?? ?? 83 ?? ?? ?? ?? ?? ?? 75 } $5058799_60 = { 48 ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 0F BA ?? ?? 73 } $4987306_60 = { 48 ?? ?? ?? ?? 48 ?? ?? ?? ?? 48 ?? ?? ?? 48 ?? ?? ?? ?? 48 ?? ?? ?? ?? 48 ?? ?? ?? ?? 48 ?? ?? ?? 81 E? ?? ?? ?? ?? 44 ?? ?? ?? ?? 41 ?? ?? ?? 4C ?? ?? 9? 0F B6 ?? 40 ?? ?? ?? 75 } $4491881_60 = { 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? 48 ?? ?? ?? 48 ?? ?? ?? 48 ?? ?? ?? ?? 66 ?? ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? 0F 82 } $5384124_60 = { 0F 1F ?? ?? E8 ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 ?? ?? ?? ?? ?? ?? 75 } $6212553_60 = { 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? 9? 48 ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 0F 1F ?? ?? 48 ?? ?? 0F 84 } $5991938_60 = { 4C ?? ?? 48 ?? ?? E8 ?? ?? ?? ?? 48 ?? ?? 0F 94 ?? 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 4C ?? ?? ?? ?? ?? ?? ?? 4C ?? ?? ?? ?? ?? ?? ?? 89 ?? 48 } $4975050_60 = { 48 ?? ?? ?? ?? ?? ?? ?? 0F 10 ?? 0F 11 ?? ?? ?? ?? ?? ?? 0F 10 ?? ?? 0F 11 ?? ?? ?? ?? ?? ?? 0F 10 ?? ?? 0F 11 ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 0F 1F ?? 48 ?? ?? ?? 0F 8F } $7558357_59 = { 31 ?? 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? B9 ?? ?? ?? ?? BF ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 ?? ?? 0F 84 } $5152831_59 = { 48 ?? ?? ?? ?? 48 ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? 48 ?? ?? 48 ?? ?? 0F 1F ?? ?? ?? E8 ?? ?? ?? ?? 48 ?? ?? ?? 48 ?? ?? ?? ?? 48 ?? ?? ?? ?? 48 ?? ?? 48 ?? ?? 48 } $4347563_59 = { 48 ?? ?? ?? ?? 66 ?? ?? ?? 48 ?? ?? 48 ?? ?? 48 ?? ?? 9? 9? 48 ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? 48 ?? ?? 48 ?? ?? ?? 66 ?? ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? 0F 83 } $6022661_59 = { 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 0F 1F ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 89 ?? 48 } $6139378_59 = { 88 ?? ?? ?? 44 ?? ?? ?? ?? ?? C6 ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? FF D? 48 ?? ?? ?? ?? 0F B6 ?? ?? ?? 48 ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? C3 } condition: uint16(0) == 0x5A4D and filesize < 10MB and all of them }
rule win_darkbit_w1 { meta: author = "albertzsigovits" reference = "https://twitter.com/vxunderground/status/1624814604936249345" date = "2023-02-13" malpedia_reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.darkbit" malpedia_version = "20230216" malpedia_license = "CC BY-NC-SA 4.0" malpedia_sharing = "TLP:WHITE" malpedia_rule_date = "20230215" malpedia_hash = "" malpedia_license = "" strings: $note1 = "But, you can contact us via TOX messenger if you want to recover your files personally." ascii wide $note2 = "All your files are encrypted using AES-256 military grade algorithm." ascii wide $note3 = "They should pay for firing high-skilled experts." ascii wide $tor = "iw6v2p3cruy7tqfup3yl4dgt4pfibfa3ai4zgnu5df2q3hus3lm7c7ad.onion" ascii wide condition: 2 of ($note*) or $tor }
rule win_darkbit_w2 { meta: author = "albertzsigovits" date = "2023-02-16" filetype = "pe" threat = "Ransomware.DarkBit.Windows" sha256 = "9107be160f7b639d68fe3670de58ed254d81de6aec9a41ad58d91aa814a247ff" malpedia_reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.darkbit" malpedia_version = "20230216" malpedia_license = "CC BY-NC-SA 4.0" malpedia_sharing = "TLP:WHITE" malpedia_rule_date = "20230215" malpedia_hash = "" malpedia_license = "" strings: $goinf = " Go buildinf:" $mingw = "Mingw-w64 runtime failure:" $cgo = "_cgo_dummy_export" $rstr1 = "Rstrtmgr.dll" $rstr2 = "RmStartSession" $rstr3 = "RmRegisterResources" $rstr4 = "RmGetList" $rstr5 = "RmShutdown" $rstr6 = "RmEndSession" $cfg1 = "\"names\":" $cfg2 = "\"limits\":" $cfg3 = "\"extensions\":" $cfg4 = "\"processes\":" $cfg5 = "\"hostnames\":" $db1 = "\"darkbit.jpg\":" $db2 = "\"recovery_darkbit.txt\":" $db3 = "\"Darkbit\":" condition: uint16(0) == 0x5A4D and uint32(uint32(0x3C)) == 0x00004550 and ( ( $goinf and $mingw and $cgo and 2 of ($rstr*) and 3 of ($cfg*) ) or ( 2 of ($cfg*) and 1 of ($db*) ) ) }
rule win_darkbit_w3 { meta: author = "albertzsigovits" date = "2023-02-16" filetype = "pe" threat = "Ransomware.DarkBit.Windows" sha256 = "9107be160f7b639d68fe3670de58ed254d81de6aec9a41ad58d91aa814a247ff" malpedia_reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.darkbit" malpedia_version = "20230216" malpedia_license = "CC BY-NC-SA 4.0" malpedia_sharing = "TLP:WHITE" malpedia_rule_date = "20230215" malpedia_hash = "" malpedia_license = "" strings: $gob1 = { 45 88 47 ?? // mov byte [r15 + 1], r8b 90 // nop 4C 8B 84 24 ?? ?? 00 00 // mov r8, qword [rsp + 0x88] 49 C1 E8 ?? // shr r8, 4 49 83 C7 ?? // add r15, 2 48 8B 44 24 ?? // mov rax, qword [rsp + 0x78] 4C 8B 8C 24 ?? ?? 00 00 // mov r9, qword [rsp + 0xb0] 48 89 D0 // mov rax, rdx 48 8B 94 24 ?? ?? 00 00 // mov rdx, qword [rsp + 0xc0] 4C 89 84 24 ?? ?? 00 00 // mov qword [rsp + 0x88], r8 41 ?? ?? ?? // and r8d, 0xf 49 } $gob2 = { 48 89 84 24 ?? ?? 00 00 // mov qword ptr ss:[rsp+D0],rax 48 89 5C 24 ?? // mov qword ptr ss:[rsp+60],rbx 31 C0 // xor eax,eax 48 8D 5C 24 ?? // lea rbx,qword ptr ss:[rsp+44] B9 ?? 00 00 00 // mov ecx,6 } $wyhash = { 4D 8B 88 ?? ?? 00 00 // mov r9, qword [r8 + 0xf0] 49 BA 2F 64 BD 78 64 1D 76 A0 // movabs r10, 0xa0761d6478bd642f 4D 01 D1 // add r9, r10 49 BB DB 28 B4 A0 D1 7E 03 E7 // movabs r11, 0xe7037ed1a0b428db 4D 31 CB // xor r11, r9 } $vss1 = { 48 8B 94 24 ?? ?? 00 00 // mov rdx,qword ptr ss:[rsp+C8] [rsp+C8]:"delete" 48 89 94 24 ?? ?? 00 00 // mov qword ptr ss:[rsp+138],rdx [rsp+138]:"delete" 48 8B 54 24 ?? // mov rdx,qword ptr ss:[rsp+58] 48 89 94 24 ?? ?? 00 00 // mov qword ptr ss:[rsp+140],rdx 48 8B 94 24 ?? ?? 00 00 // mov rdx,qword ptr ss:[rsp+F0] [rsp+F0]:"shadows" 48 89 94 24 ?? ?? 00 00 // mov qword ptr ss:[rsp+148],rdx [rsp+148]:"shadows" 48 8B 94 24 ?? ?? 00 00 // mov rdx,qword ptr ss:[rsp+80] 48 89 94 24 ?? ?? 00 00 // mov qword ptr ss:[rsp+150],rdx 48 8B 94 24 ?? ?? 00 00 // mov rdx,qword ptr ss:[rsp+C0] [rsp+C0]:"/all" 48 89 94 24 ?? ?? 00 00 // mov qword ptr ss:[rsp+158],rdx [rsp+158]:"/all" 48 8B 54 24 ?? // mov rdx,qword ptr ss:[rsp+50] 48 89 94 24 ?? ?? 00 00 // mov qword ptr ss:[rsp+160],rdx 48 89 84 24 ?? ?? 00 00 // mov qword ptr ss:[rsp+168],rax [rsp+168]:"/Quiet" 48 89 9C 24 ?? ?? 00 00 // mov qword ptr ss:[rsp+170],rbx 48 8B 84 24 ?? ?? 00 00 // mov rax,qword ptr ss:[rsp+D0] [rsp+D0]:"vssadmin.exe" 48 8B 5C 24 ?? // mov rbx,qword ptr ss:[rsp+60] 48 8D 8C 24 ?? ?? 00 00 // lea rcx,qword ptr ss:[rsp+138] [rsp+138]:"delete" } $vss2 = { 48 BA CB BB 16 11 B4 B1 42 AD // mov rdx,AD42B1B41116BBCB 48 89 94 24 ?? ?? 00 00 // mov qword ptr ss:[rsp+B1],rdx 48 BA AD 6D A1 5B 11 15 7B 7B // mov rdx,7B7B15115BA16DAD 48 89 94 24 ?? ?? 00 00 // mov qword ptr ss:[rsp+B8],rdx 48 BA 9D C8 65 70 D0 DC 2B C3 // mov rdx,C32BDCD07065C89D 48 89 94 24 ?? ?? 00 00 // mov qword ptr ss:[rsp+A2],rdx 48 BA C3 4D C5 3E 7D 70 0F 1E // mov rdx,1E0F707D3EC54DC3 48 89 94 24 ?? ?? 00 00 // mov qword ptr ss:[rsp+A9],rdx } condition: uint16(0) == 0x5A4D and uint32(uint32(0x3C)) == 0x00004550 and 3 of them }
If your designated proposal does not fit in any other category, feel free to write a free-text in the comment field below. Changes regarding references should be proposed on the Malpedia library page.
Your suggestion will be reviewed before being published. Thank you for contributing!
YYYY-MM-DD
YYYY-MM
YYYY