18 lines
645 B
Text
18 lines
645 B
Text
rule Linux_Ransomware_Core
|
|
{
|
|
meta:
|
|
description = "Ransomware ELF noti - regola stabile"
|
|
author = "BastionGuard"
|
|
confidence = "high"
|
|
fix_notes = "FP fix: aggiunto parentesi nella condizione - senza di esse il check ELF e filesize NON si applicavano a $note, causando match su file di testo normali"
|
|
|
|
strings:
|
|
$s1 = { 48 8D 3D ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 89 C3 }
|
|
$s2 = { 55 48 89 E5 48 83 EC 20 48 89 7D F8 31 C0 }
|
|
$note = "Your files have been encrypted" wide ascii
|
|
|
|
condition:
|
|
uint32(0) == 0x7f454c46 and
|
|
filesize < 20MB and
|
|
(any of ($s*) or $note)
|
|
}
|