2019-11-05-megacortex-rw-v4-scan-work-component.vk.yar

import "pe"
rule crime_win32_megacortex_v4_scan {
   meta:
      description = "Detects MegaCortex v4 scan component"
      author = "@VK_Intel"
      reference = "https://twitter.com/VK_Intel/status/1191735776964427784"
      date = "2019-11-06"
      hash1 = "e362d6217aff55572dc79158fae0ac729f52c1fc5356af4612890b9bd84fbcde"
   strings:
      $dll1 = "scan.dll" fullword ascii

      $str1 = ".?AV?$_Ref_count_obj@U_Recursive_dir_enum_impl@filesystem@std@@@std@@" fullword ascii
      $str2 = "recursive_directory_iterator::operator++" fullword ascii
      $str3 = ".?AVfilesystem_error@filesystem@std@@" fullword ascii
      $str4 = "operator co_await" fullword ascii

      $finder_routine = { 55 8b ec 83 ec 08 53 56 57 8b ?? ?? 8d ?? ?? 50 8b cf c7 ?? ?? ?? ?? ?? ?? c7 ?? ?? ?? ?? ?? ?? e8 ?? ?? ?? ?? 83 ?? ?? ?? 72 ?? 8b ?? 8b ?? ?? 8b ?? ?? 56 53 57 e8 ?? ?? ?? ?? 8b c8 85 c9 75 ?? 8b ?? 56 e8 ?? ?? ?? ?? 83 c4 04 84 c0 74 ?? 56 57 e8 ?? ?? ?? ?? 85 c0 75 ?? 56 e8 ?? ?? ?? ?? 83 c4 04 84 c0 75 ?? 5f 5e 33 c0 5b 8b e5 5d c3 }

   condition:
      ( uint16(0) == 0x5a4d and
         filesize < 600KB and
         pe.imphash() == "f6d7124a9c8ecb041911a66ebd7ea851" and pe.exports("_run@16") and
         ( 3 of them and $finder_routine)
      ) or ( all of them )
}



import "pe"
rule crime_win32_megacortex_v4_work {
   meta:
      description = "Detects MegaCortex v4 worker component"
      author = "@VK_Intel"
      reference = "https://twitter.com/VK_Intel/status/1191735776964427784"
      date = "2019-11-06"
      hash1 = "5ff14746232a1d17e44c7d095e2ec15ede4bd01f35ae72cc36c2596274327af9"
   
   strings:
      $dll1 = "work.dll" fullword ascii

      $str0 = ".log" ascii
      $str1 = ".m3g4c0rtx" fullword ascii
      $str2 = "* exception" fullword ascii

      $run_prologue = { 55 8b ec 6a ff 68 88 08 06 10 64 ?? ?? ?? ?? ?? 50 83 ec 2c a1 ?? ?? ?? ?? 33 c5 89 ?? ?? 53 56 57 50 8d ?? ?? 64 ?? ?? ?? ?? ?? 89 ?? ?? 8b ?? ?? 8b ?? ?? 68 e9 fd 00 00 89 ?? ?? ff ?? ?? ?? ?? ?? 8b ce c7 ?? ?? ?? ?? ?? ?? c7 ?? ?? ?? ?? ?? ?? c7 ?? ?? ?? ?? ?? ?? c6 ?? ?? ?? 8d ?? ?? 8a ?? 41 84 c0 75 ?? 2b ca 51 56 8d ?? ?? e8 ?? ?? ?? ?? c6 ?? ?? ?? e8 ?? ?? ?? ?? 83 ?? ?? ?? 8d ?? ?? 8b f8 8d ?? ?? 0f ?? ?? ?? 6a 0a 50 56 c7 ?? ?? ?? ?? ?? e8 ?? ?? ?? ?? 83 c4 0c 8b d8 3b ?? ?? 0f ?? ?? ?? ?? ?? 83 ?? ?? 0f ?? ?? ?? ?? ?? 8b ?? ?? c6 ?? ?? ?? 83 fa 10 72 ?? 8b ?? ?? 42 8b c1 81 fa 00 10 00 00 72 ?? 8b ?? ?? 83 c2 23 2b c1 83 c0 fc 83 f8 1f 0f ?? ?? ?? ?? ?? }

   condition:
      ( uint16(0) == 0x5a4d and
         filesize < 2000KB and
         pe.imphash() == "53fc5f807010d3523ab8bac42841d361" and pe.exports("_run@16") and
         ( 3 of them and $run_prologue )
      ) or ( all of them )
}