2020-03-16-cobalt-strike-payload-vk-yara.yar

rule crime_win32_csbeacon_1 {
meta:
	description = "Detects Cobalt Strike loader"
	author = "@VK_Intel"
	reference = "https://twitter.com/VK_Intel/status/1239632822358474753"
	description = "Detects Cobalt Strike loader"
	date = "2020-03-16"


strings:
	$str1 = "%s (admin)"
	$str2 = "beacon.dll"


$pipe_func = { 55 8b ec 81 ec 10 01 00 00 a1 ?? ?? ?? ?? [1-2] 89 ?? ?? 81 fe 00 01 00 00 8b ?? ?? 53 7d ?? 56 50 8d ?? ?? ?? ?? ?? 50 e8 ?? ?? ?? ?? 83 ?? ?? ?? ?? ?? ?? 83 ?? ?? ?? ?? ?? ?? 83 ?? ?? ?? ?? ?? ?? 83 c4 0c 33 db 53 53 53 53 6a 02 6a 04 6a 03 8d ?? ?? ?? ?? ?? 50 88 ?? ?? ?? ?? ?? ?? ff ?? ?? ?? ?? ?? a3 ?? ?? ?? ?? 3b c3 74 ?? 53 68 44 41 00 10 e8 ?? ?? ?? ?? 59 59 a3 ?? ?? ?? ?? 8b ?? ?? 33 cd 5b e8 ?? ?? ?? ?? c9 c3} 


condition:
	( uint16(0) == 0x5a4d and
	( 2 of them )
	) or ( all of them )
	}