2020-04-15-ragnarlocker-ransomwae-yara-vk.yar

////////////////////////////////////////////////////////
///////////////////// RAGNARLOCKER //////////////////////
////////////////////////////////////////////////////////

import "pe"

rule crime_win32_ransom_ragnarlocker_1 {
meta:
	description = "Detects RagnarLocker"
	author = "@VK_Intel"
	tlp = "white"
	date = "2020-04-15"

strings:
		$str1 = ".ragnar_" wide
		$str2 = "RGNR_" wide
		$str3 = "---RAGNAR SECRET---"

		$section = ".keys"

		$start_code = { 53 8b dc 83 ec 08 83 e4 f0 83 c4 04 55 8b ?? ?? 89 ?? ?? ?? 8b ec b8 08 24 00 00 e8 ?? ?? ?? ?? 56 57 e8 ?? ?? ?? ?? 8d ?? ?? c7 ?? ?? ?? ?? ?? ?? 50 8d ?? ?? ?? ?? ?? c7 ?? ?? ?? ?? ?? ?? 50 ff ?? ?? ?? ?? ?? 8d ?? ?? 50 8d ?? ?? ?? ?? ?? 50 ff ?? ?? ?? ?? ?? 68 c0 81 40 00 8d ?? ?? ?? ?? ?? 50 ff ?? ?? ?? ?? ?? 68 00 82 40 00 68 c0 81 40 00 e8 ?? ?? ?? ?? 68 18 82 40 00 68 30 82 40 00 8b f8 e8 ?? ?? ?? ?? 83 c4 10 8b f0 8d ?? ?? ?? ?? ?? 57 50 a1 ?? ?? ?? ?? ff d0 56 8d ?? ?? ?? ?? ?? 50 ff ?? ?? ?? ?? ?? 8d ?? ?? ?? ?? ?? 50 8d ?? ?? ?? ?? ?? 50 ff ?? ?? ?? ?? ?? 8d ?? ?? ?? ?? ?? 50 8d ?? ?? ?? ?? ?? 50 ff ?? ?? ?? ?? ?? 8d ?? ?? ?? ?? ?? 50 e8 ?? ?? ?? ?? 89 ?? ??}


condition:
	( uint16(0) == 0x5a4d and
	( 4 of them )
	) or ( all of them )
	}