2020-03-28-icedid-bokbot-yar-vk.yar

/*
▄█ ▄█▄    ▄███▄   ██▄   ▄█ ██▄   
██ █▀ ▀▄  █▀   ▀  █  █  ██ █  █  
██ █   ▀  ██▄▄    █   █ ██ █   █ 
▐█ █▄  ▄▀ █▄   ▄▀ █  █  ▐█ █  █  
 ▐ ▀███▀  ▀███▀   ███▀   ▐ ███▀  
                                 
*/

rule crime_win32_banker_iceid_ldr1 {
meta:
  description = "Detects IcedId/BokBot png loader (unpacked)"
  author = "@VK_Intel"
  reference = "twitter"
  tlp = "white"
  date = "2020-03-28"
  thanks = "@r0ny_123"


strings:
  $str1 = ".png"
  $str2 = "id=%0.2X%0.8X%0.8X%s"
  $str3 = "%0.2X%0.2X%0.2X%0.2X%0.2X%0.2X%0.8X"


   $rtdsc_code1 = { 83 ec 10 88 ?? ?? ?? c7 ?? ?? ?? ?? ?? ?? ?? 66 ?? ?? ?? ?? ?? ?? 53 8b d9 56 0f b6 f2 57 84 d2 74 ?? 8b cb e8 ?? ?? ?? ?? 83 ee 01 75 ?? 55 8b cb 33 f6 e8 ?? ?? ?? ?? 8b ?? ?? ?? 83 e0 01 83 c0 02 89 ?? ?? ?? 8b e8 8d ?? ?? 8b cb e8 ?? ?? ?? ?? 03 f0 83 ed 01 75 ?? 8a ?? ?? ?? 5d 84 c0 74 ?? c0 c8 03 0f b6 c8 8b c1 c1 e9 04 83 e0 0f 8a ?? ?? ?? ?? ?? 88 ?? ?? 8a ?? ?? ?? ?? ?? 88 ?? ?? ?? 83 c6 02 c6 ?? ?? ?? 8b cb e8 ?? ?? ?? ?? a8 01 75 ?? 80 ?? ?? 8b cb e8 ?? ?? ?? ?? a8 01 74 ?? 8b cb e8 ?? ?? ?? ?? 6a 06 0f b6 c0 33 d2 59 f7 f1 0f b6 c2 0f ?? ?? ?? ?? 50 8d ?? ?? }
   $start_png = { 55 8b ec 81 ec 28 01 00 00 b8 08 40 28 01 c7 ?? ?? ?? ?? ?? ?? 8d ?? ?? c7 ?? ?? ?? ?? ?? ?? 89 ?? ?? c7 ?? ?? ?? ?? ?? ?? 89 ?? ?? e8 ?? ?? ?? ?? 85 c0 75 ?? 33 c0 e9 ?? ?? ?? ?? a1 ?? ?? ?? ?? 8d ?? ?? 89 ?? ?? 8d ?? ?? ?? ?? ?? 50 e8 ?? ?? ?? ?? 8d ?? ?? ?? ?? ?? b2 01 03 c1 8d ?? ?? 50 68 04 31 28 01 e8 ?? ?? ?? ?? 8d ?? ?? 50 8d ?? ?? 8d ?? ?? ?? ?? ?? e8 ?? ?? ?? ?? 83 c4 10 85 c0 74 ?? 8b ?? ?? 8d ?? ?? 8b ?? ?? 50 8d ?? ??}


condition:
  ( uint16(0) == 0x5a4d and
  ( 3 of them )
  ) or ( all of them )
  }