Advertisement
Guest User

Untitled

a guest
Feb 9th, 2023
142
0
Never
Not a member of Pastebin yet? Sign Up, it unlocks many cool features!
text 1.89 KB | None | 0 0
  1. rule some_packer {
  2. strings:
  3.  
  4. // strlen the xor_key
  5. $strlen1 = {
  6. FF 15 ?? ?? ?? ??
  7. ?? ?? ??
  8. 89 45 ??
  9. 85 C0
  10. 7E (4C | 6F)
  11. }
  12.  
  13. // strlen the xor_key
  14. $strlen2 = {
  15. FF 15 ?? ?? ?? ??
  16. 89 45 ??
  17. 85 C0
  18. 7E ??
  19. }
  20.  
  21. $strlen3 = {
  22. FF 15 ?? ?? ?? ??
  23. 89 45 ??
  24. C7 45 ?? ?? ?? ?? ??
  25. EB ??
  26. }
  27.  
  28. $strlen4 = {
  29. 8B F8
  30. 33 (D2 | F6)
  31. 85 (F6 | FF)
  32. 7E ??
  33. }
  34.  
  35. $strlen5 = {
  36. 8B F0
  37. 33 (D2 | F6)
  38. 85 (F6 | FF)
  39. 7E ??
  40. }
  41.  
  42. $outer_xor_loop1 = {
  43. 8A 04 ??
  44. 34 ??
  45. [0-8] 8B ??
  46. 3B FE
  47. }
  48.  
  49. $outer_xor_loop2 = {
  50. 8B 55 ??
  51. 0F B6 82 ?? ?? ?? ??
  52. [0-8] 88 45 ??
  53. 8B 4D ??
  54. 03 4D ??
  55. 89 4D ??
  56. 8B 55 ??
  57. 03 55 ??
  58. 89 55 ??
  59. }
  60.  
  61. $inner_xor_loop1 = {
  62. 8A D3
  63. DD D8
  64. 2A 55 ??
  65. 83 C4 ??
  66. 80 E2 ??
  67. 32 55 ??
  68. 30 13
  69. 03 5D ??
  70. 3B DE
  71. 72 ??
  72. }
  73.  
  74. $inner_xor_loop2 = {
  75. 8A (D9 | D3)
  76. 2A DA
  77. 80 E3 ??
  78. 32 19
  79. 32 D8
  80. 88 19
  81. 03 4D ??
  82. 3B CE
  83. 72 ??
  84. }
  85.  
  86. $inner_xor_loop3 = {
  87. 83 C4 ??
  88. 8B 55 ??
  89. 0F B6 02
  90. 0F B6 4D ??
  91. 33 C1
  92. 8B 55 ??
  93. 2B 55 ??
  94. 0F B6 CA
  95. (81 | 83) E1
  96. [0-8] 33 C1
  97. 8B 55 ??
  98. 88 02
  99. }
  100.  
  101. $xor_loop1 = {
  102. 8A C1
  103. 2A 45 ??
  104. [0-8 ] 24 ??
  105. 32 (C3 | C4)
  106. 30 01
  107. 03 CE
  108. 81 F9 ?? ?? ?? ??
  109. }
  110.  
  111. $xor_loop2 = {
  112. 8A C3
  113. B9 ?? ?? ?? ??
  114. 2A C1
  115. 83 C4 ??
  116. [0-8] 24 ??
  117. 32 45 ??
  118. 30 03
  119. 03 DF
  120. 81 FB ?? ?? ?? ??
  121. }
  122.  
  123. condition:
  124. uint16(0) == 0x5a4d
  125. and
  126. uint32(uint32(0x3c)) == 0x4550
  127. and
  128. 1 of ($strlen*)
  129. and
  130. 1 of ($inner_xor_loop*)
  131. and
  132. 1 of ($outer_xor_loop*)
  133. or
  134. 1 of ($xor_loop*)
  135. }
Advertisement
Add Comment
Please, Sign In to add comment
Advertisement