rule LINUX_Browser_DataCollector_Medium
{
    meta:
        description = "Linux: collezione dati browser (cookies/login/history) - generico"
        severity = "medium"
        score = 55
        response = "alert"
        fix_notes = "FP fix: aggiunto check ELF - stringhe come 'Cookies','History','Web Data' sono troppo generiche senza vincolo tipo file"

    strings:
        $a1 = "Cookies" ascii
        $a2 = "cookies.sqlite" ascii
        $a3 = "Login Data" ascii
        $a4 = "History" ascii
        $a5 = "Web Data" ascii
        $a6 = "Local State" ascii

        $b1 = "/.config/google-chrome/" ascii
        $b2 = "/.config/chromium/" ascii
        $b3 = "/.mozilla/firefox/" ascii

    condition:
        uint32(0) == 0x7f454c46 and
        3 of ($a*) and 1 of ($b*)
}