rule Linux_Ransomware_Extensions_Strict
{
    meta:
        description = "Estensioni ransomware embedded, solo per ELF"
        author = "BastionGuard"
        fix_notes = "FP fix: alzata soglia a 2 of 3 - .enc e .crypt sono usate da tool di cifratura legittimi (OpenSSL, KDE Wallet)"

    strings:
        $e1 = ".locked" ascii
        $e2 = ".crypt" ascii
        $e3 = ".enc"   ascii

    condition:
        uint32(0) == 0x7f454c46 and
        2 of ($e*)
}