2020-03-19-parallax-loader-yara.vk.yar

rule crime_win32_parralax_load_1 {
meta:
    description = "Detects Parallax loader sequence"
    author = "@VK_Intel"
    reference = "https://twitter.com/VK_Intel/status/1240676463126380545"
    date = "2020-03-19"


strings:
  $str1 = "UN.vbs" wide
  $str2 = "Clipboard" wide

  $code_exe_part = { 8b ?? 83 ?? ?? ?? 75 ?? c7 ?? ?? ?? ?? ?? ?? eb ?? c7 ?? ?? ?? ?? ?? ?? 83 ?? ?? 00 0f ?? ?? ?? ?? ?? 83 ?? ?? ?? 74 ?? ff ?? ?? ff ?? ?? ff ?? ?? ?? ?? ?? eb ?? ff ?? ?? 68 04 01 00 00 ff ?? ?? ?? ?? ?? ff ?? ?? e8 ?? ?? ?? ?? 8b ?? ?? 03 d0 6a 0a 52 e8 ?? ?? ?? ?? 68 d8 ca 40 00 ff ?? ?? e8 ?? ?? ?? ?? 6a 00 68 06 00 00 40 6a 02 6a 00 6a 00 68 00 00 00 40 ff ?? ?? ff ?? ?? ?? ?? ?? 89 ?? ?? 83 ?? ?? ?? 74 ?? 8b ?? ?? 8b ?? ?? 89 ?? ?? 8b ?? ?? 89 ?? ?? eb ??}


condition:
( uint16(0) == 0x5a4d and
( 2 of them )
) or ( all of them )
}