2020-04-02-nefilim-ransomware-vk-yara.yar

/////////////////////////////////////////////////////////////////////////////
/////////////////////////////////////////////////////////////////////////////
//////////////////////////// NEPHILIM RANSOMWARE ////////////////////////////
/////////////////////////////////////////////////////////////////////////////
/////////////////////////////////////////////////////////////////////////////
rule crime_win32_ransom_nefilim_1 {

meta:
	description = "Detects Nefilim aka Nemty Revenue Project"
	author = "@VK_Intel"
	reference = "https://twitter.com/VK_Intel/status/1245789909337677825"
	tlp = "amber; 2020-04-02: downgraded to tlp:white"
	date = "2020-04-02"


strings:
	$str1 = "NEPHILIM"
	$str2 = "PathFindExtensionW"
	$str3 = "SystemFunction036"


	$rand_func_w = { 8b ?? ?? 8b ?? ?? 3b c7 0f ?? ?? ?? ?? ?? 7f ?? 81 f9 00 90 d0 03 0f ?? ?? ?? ?? ?? 89 ?? ?? 89 ?? ?? 3b c7 0f ?? ?? ?? ?? ?? 7f ?? 3b cf 0f ?? ?? ?? ?? ?? eb ?? 8b ?? ?? 2b ?? ?? 1b ?? ?? 89 ?? ?? 0f ?? ?? ?? ?? ?? 7f ?? 81 f9 90 d0 03 00 0f ?? ?? ?? ?? ?? 68 48 e8 01 00 57 ff d6 50 ff ?? ?? ?? ?? ?? 57 57 ff ?? ?? 89 ?? ?? ff ?? ?? ff ?? ?? ff d3 57 8d ?? ?? 50 68 48 e8 01 00 ff ?? ?? ff ?? ?? ff ?? ?? ?? ?? ??}
	$gen_code = {55 8b ec 81 ec c0 00 00 00 53 56 8d ?? ?? ?? ?? ?? e8 ?? ?? ?? ?? 33 db 6a 10 59 39 ?? ?? 76 ?? 57 83 f9 10 75 ?? 8b ?? ?? 8d ?? ?? a5 a5 a5 8d ?? ?? ?? ?? ?? a5 50 8d ?? ?? e8 ?? ?? ?? ?? 59 6a 0f 58 8b ?? ?? 8d ?? ?? 80 ?? ?? 75 ?? 48 c6 ?? ?? 79 ?? eb ?? fe ?? ?? 33 c9 8a ?? ?? ?? 8b ?? ?? 30 ?? ?? 43 41 3b ?? ?? 72 ?? 5f 8b ?? ?? 8b ?? ?? 6a 10 2b c8 5e 8a ?? ?? 88 ?? 40 4e 75 ?? 5e 5b c9 c3}


condition:
( uint16(0) == 0x5a4d and
( 3 of them )
) or ( all of them )
}