YAra rule: Citadel

rule Zeus_2
{
  strings:
  $a = {56 BA ?? ?? 00 00 52 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 8B 35 ?? ?? ?? ?? 8B 0D ?? ?? ?? ??}
  $b = {56 BA ?? ?? 00 00 52 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 8B 0D ?? ?? ?? ?? 03 0D ?? ?? ?? ??}
  $c = {55 8B EC 51 A1 ?? ?? ?? ?? 8B 0D ?? ?? ?? ?? 56 8D 34 01 A1 ?? ?? ?? ?? 8B 0D ?? ?? ?? ??}
  $d = {68 02 01 00 00 8D 84 24 ?? ?? ?? ?? 50 8D 44 24 ?? 50 E8 ?? ?? ?? ?? B8 E6 01 00 00 50 68 ?? ?? ?? ??}
    $e = {68 02 01 00 00 8D 85 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? B8 E6 01 00 00 50 68 ?? ?? ?? ??}
  condition:
 	$a or $b or $c or $d or $e
}

rule Citadel
{
strings:
$a = {8B C7 EB F5 55 8B EC}
    $b = {55 8B EC 83 EC 0C 8A 82 00 01 00 00}
        $c = {83 F9 66 74 ?? 83 F9 6E 74 ?? 83 F9 76 74 ?? 83 F9 7A}
        $d = "Coded by BRIAN KREBS for personal use only. I love my job & wife"
        $e = {3D D0 FF 1F 03 77 ?? 83 7D}
  condition:
($a and $b) or $c or $d or $e
}