2020-03-24-isfb-gozi-217-browser-yara.vk.yar

//////////////////////////////////////////////////////
//////////// ISFB Browser Grabber Yara ///////////////
//////////////////////////////////////////////////////
rule crime_win32_isfb_217_browser_mod {
meta:
description = "Detects ISFB 2.17 browser grabber module"
author = "@VK_Intel"
reference = "https://twitter.com/VK_Intel/status/1237453047305048067"
description = "Detects ISFB 2.17 browser grabber module"
date = "2020-03-24"


strings:
$str1 = "browser.dll"
$str2 = "PluginRegisterCallbacks"


$code1 = {55 8b ec a1 ?? ?? ?? ?? 53 56 8b ?? ?? 33 db 57 8b ?? ?? ?? ?? ?? 89 ?? ?? ?? ?? ?? 3b c3 74 ?? 50 ff d7 8b ?? ?? 83 c6 04 56 a3 ?? ?? ?? ?? ff ?? ?? ?? ?? ?? 53 53 ff ?? ?? 68 d4 13 00 10 53 53 ff ?? ?? ?? ?? ?? 89 ?? ?? 3b c3 74 ?? ff ?? ?? ?? ?? ?? ff ?? ?? ff d7 eb ?? 56 ff ?? ?? ?? ?? ?? 5f 5e 89 ?? ?? ?? ?? ?? 5b 5d c2 08 00}


condition:
( uint16(0) == 0x5a4d and
( 2 of them )
) or ( all of them )
}