16 lines
461 B
Text
16 lines
461 B
Text
rule Linux_Ransomware_Extensions_Strict
|
|
{
|
|
meta:
|
|
description = "Estensioni ransomware embedded, solo per ELF"
|
|
author = "BastionGuard"
|
|
fix_notes = "FP fix: alzata soglia a 2 of 3 - .enc e .crypt sono usate da tool di cifratura legittimi (OpenSSL, KDE Wallet)"
|
|
|
|
strings:
|
|
$e1 = ".locked" ascii
|
|
$e2 = ".crypt" ascii
|
|
$e3 = ".enc" ascii
|
|
|
|
condition:
|
|
uint32(0) == 0x7f454c46 and
|
|
2 of ($e*)
|
|
}
|