rule Linux_Ransomware_Core
{
    meta:
        description = "Ransomware ELF noti - regola stabile"
        author = "BastionGuard"
        confidence = "high"
        fix_notes = "FP fix: aggiunto parentesi nella condizione - senza di esse il check ELF e filesize NON si applicavano a $note, causando match su file di testo normali"

    strings:
        $s1 = { 48 8D 3D ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 89 C3 }
        $s2 = { 55 48 89 E5 48 83 EC 20 48 89 7D F8 31 C0 }
        $note = "Your files have been encrypted" wide ascii

    condition:
        uint32(0) == 0x7f454c46 and
        filesize < 20MB and
        (any of ($s*) or $note)
}