hunt_redline_stealer.yar

rule hunt_redline_stealer
{
  meta:
      description = "Search for samples containing certain fingerprints"
      date = "2023-01-12"
      yarahub_reference_md5 = "26ddf1d4f84651f1b35fb6885d6ed325"
      yarahub_uuid = "0835dd41-46f7-4113-8248-6f31e751e514"
      yarahub_license = "CC0 1.0"
      yarahub_rule_matching_tlp = "TLP:WHITE"
      yarahub_rule_sharing_tlp = "TLP:WHITE"
  strings:
      $a = "(te%psehczev" wide
      $b = {2f 00 3a 00 ?? 00 ?? 00 ?? 00 ?? 00 ?? 00 ?? 00 2f 00 ?? 00 ?? 00 ?? 00 3a 00 ?? ?? 3a 00 ?? ?? ?? ?? 2f 00 3a 00 ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? 2f 00 ?? ?? ?? ?? ?? ?? ?? ?? 2f 00 ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? 00 00}
      $c = "Parella Javan" wide
      $d = "ExotismWaura" wide
  condition:
      uint16(0) == 0x5A4D and (any of them)
}