2020-04-03-nemty-nephilim-31-vk.yar

//////////////////////////////////////////////////////
////////////////// NEMTY 3.1 AND NEPHILIM ////////////
//////////////////////////////////////////////////////

rule crime_win32_ransom_nemty_nephilim_rev_1 {

meta:
	description = "Detects Nephilim AND Nemty Revenue Project"
	author = "@VK_Intel"
	reference = "INTEL-SRC"
	tlp = "amber; declassified to white"
	date = "2020-04-03"


strings:
	$str0 = "NEMTY"
	$str1 = "NEPHILIM"
	$str2 = "PathFindExtensionW"
	$str3 = "SystemFunction036"

	$rand_func_w = { 8b ?? ?? 8b ?? ?? 3b c7 0f ?? ?? ?? ?? ?? 7f ?? 81 f9 00 90 d0 03 0f ?? ?? ?? ?? ?? 89 ?? ?? 89 ?? ?? 3b c7 0f ?? ?? ?? ?? ?? 7f ?? 3b cf 0f ?? ?? ?? ?? ?? eb ?? 8b ?? ?? 2b ?? ?? 1b ?? ?? 89 ?? ?? 0f ?? ?? ?? ?? ?? 7f ?? 81 f9 90 d0 03 00 0f ?? ?? ?? ?? ?? 68 48 e8 01 00 57 ff d6 50 ff ?? ?? ?? ?? ?? 57 57 ff ?? ?? 89 ?? ?? ff ?? ?? ff ?? ?? ff d3 57 8d ?? ?? 50 68 48 e8 01 00 ff ?? ?? ff ?? ?? ff ?? ?? ?? ?? ??}
	$gen_code = {55 8b ec 81 ec c0 00 00 00 53 56 8d ?? ?? ?? ?? ?? e8 ?? ?? ?? ?? 33 db 6a 10 59 39 ?? ?? 76 ?? 57 83 f9 10 75 ?? 8b ?? ?? 8d ?? ?? a5 a5 a5 8d ?? ?? ?? ?? ?? a5 50 8d ?? ?? e8 ?? ?? ?? ?? 59 6a 0f 58 8b ?? ?? 8d ?? ?? 80 ?? ?? 75 ?? 48 c6 ?? ?? 79 ?? eb ?? fe ?? ?? 33 c9 8a ?? ?? ?? 8b ?? ?? 30 ?? ?? 43 41 3b ?? ?? 72 ?? 5f 8b ?? ?? 8b ?? ?? 6a 10 2b c8 5e 8a ?? ?? 88 ?? 40 4e 75 ?? 5e 5b c9 c3}

	$nemty_start = { 55 8b ec 81 ec 0c 02 00 00 56 e8 ?? ?? ?? ?? e8 ?? ?? ?? ?? e8 ?? ?? ?? ?? 8d ?? ?? 50 c7 ?? ?? ?? ?? ?? ?? ff ?? ?? ?? ?? ?? 50 e8 ?? ?? ?? ?? 8b f0 e8 ?? ?? ?? ?? 6a 00 6a 00 68 20 5c 40 00 68 14 5c 40 00 6a 00 6a 00 e8 ?? ?? ?? ?? 83 c4 20 e8 ?? ?? ?? ?? 85 c0 74 ?? 68 10 5c 40 00 e8 ?? ?? ?? ?? 68 44 56 40 00 a3 ?? ?? ?? ?? e8 ?? ?? ?? ?? 50 a3 ?? ?? ?? ?? e8 ?? ?? ?? ?? 68 0c 5c 40 00 a3 ?? ?? ?? ?? e8 ?? ?? ?? ?? 83 c4 10 a3 ?? ?? ?? ?? e8 ?? ?? ?? ?? 83 ?? ?? ?? 0f ?? ?? ?? ?? ?? 8b ?? ?? 51 e8 ?? ?? ?? ?? 83 c4 04 85 c0 75 ?? 8b ?? ?? 52 e8 ?? ?? ?? ?? 83 c4 04 e9 ?? ?? ?? ?? }


condition:
( uint16(0) == 0x5a4d and
( 4 of them )
) or ( all of them )
}