malware_lodeinfo_network_decode_process_xor_bruteforce

YARA detection rule by JPCERT/CC Incident Response Group · NOASSERTION
Rule to detect network decode process in LODEINFO
rule malware_lodeinfo_network_decode_process_xor_bruteforce
{
  meta:
    description = "Rule to detect network decode process in LODEINFO"
    author = "JPCERT/CC Incident Response Group"
    hash = "2169d93f344e3f353444557b9009aef27f1b0a0a8aa3d947b5b8f0b36ef20672"

  strings:
    $xor_01 = { 8b 4f 35 31 4f 31 31 4f 30 31 4f 33 31 4f 32 f7 47 31 0e }
    $xor_02 = { 88 4c 36 32 4c 32 32 4c 33 32 4c 30 32 4c 31 f4 44 32 0d }
    $xor_03 = { 89 4d 37 33 4d 33 33 4d 32 33 4d 31 33 4d 30 f5 45 33 0c }
    $xor_04 = { 8e 4a 30 34 4a 34 34 4a 35 34 4a 36 34 4a 37 f2 42 34 0b }
    $xor_05 = { 8f 4b 31 35 4b 35 35 4b 34 35 4b 37 35 4b 36 f3 43 35 0a }
    $xor_06 = { 8c 48 32 36 48 36 36 48 37 36 48 34 36 48 35 f0 40 36 09 }
    $xor_07 = { 8d 49 33 37 49 37 37 49 36 37 49 35 37 49 34 f1 41 37 08 }
    $xor_08 = { 82 46 3c 38 46 38 38 46 39 38 46 3a 38 46 3b fe 4e 38 07 }
    $xor_09 = { 83 47 3d 39 47 39 39 47 38 39 47 3b 39 47 3a ff 4f 39 06 }
    $xor_0A = { 80 44 3e 3a 44 3a 3a 44 3b 3a 44 38 3a 44 39 fc 4c 3a 05 }
    $xor_0B = { 81 45 3f 3b 45 3b 3b 45 3a 3b 45 39 3b 45 38 fd 4d 3b 04 }
    $xor_0C = { 86 42 38 3c 42 3c 3c 42 3d 3c 42 3e 3c 42 3f fa 4a 3c 03 }
    $xor_0D = { 87 43 39 3d 43 3d 3d 43 3c 3d 43 3f 3d 43 3e fb 4b 3d 02 }
    $xor_0E = { 84 40 3a 3e 40 3e 3e 40 3f 3e 40 3c 3e 40 3d f8 48 3e 01 }
    $xor_0F = { 85 41 3b 3f 41 3f 3f 41 3e 3f 41 3d 3f 41 3c f9 49 3f 00 }
    $xor_10 = { 9a 5e 24 20 5e 20 20 5e 21 20 5e 22 20 5e 23 e6 56 20 1f }
    $xor_11 = { 9b 5f 25 21 5f 21 21 5f 20 21 5f 23 21 5f 22 e7 57 21 1e }
    $xor_12 = { 98 5c 26 22 5c 22 22 5c 23 22 5c 20 22 5c 21 e4 54 22 1d }
    $xor_13 = { 99 5d 27 23 5d 23 23 5d 22 23 5d 21 23 5d 20 e5 55 23 1c }
    $xor_14 = { 9e 5a 20 24 5a 24 24 5a 25 24 5a 26 24 5a 27 e2 52 24 1b }
    $xor_15 = { 9f 5b 21 25 5b 25 25 5b 24 25 5b 27 25 5b 26 e3 53 25 1a }
    $xor_16 = { 9c 58 22 26 58 26 26 58 27 26 58 24 26 58 25 e0 50 26 19 }
    $xor_17 = { 9d 59 23 27 59 27 27 59 26 27 59 25 27 59 24 e1 51 27 18 }
    $xor_18 = { 92 56 2c 28 56 28 28 56 29 28 56 2a 28 56 2b ee 5e 28 17 }
    $xor_19 = { 93 57 2d 29 57 29 29 57 28 29 57 2b 29 57 2a ef 5f 29 16 }
    $xor_1A = { 90 54 2e 2a 54 2a 2a 54 2b 2a 54 28 2a 54 29 ec 5c 2a 15 }
    $xor_1B = { 91 55 2f 2b 55 2b 2b 55 2a 2b 55 29 2b 55 28 ed 5d 2b 14 }
    $xor_1C = { 96 52 28 2c 52 2c 2c 52 2d 2c 52 2e 2c 52 2f ea 5a 2c 13 }
    $xor_1D = { 97 53 29 2d 53 2d 2d 53 2c 2d 53 2f 2d 53 2e eb 5b 2d 12 }
    $xor_1E = { 94 50 2a 2e 50 2e 2e 50 2f 2e 50 2c 2e 50 2d e8 58 2e 11 }
    $xor_1F = { 95 51 2b 2f 51 2f 2f 51 2e 2f 51 2d 2f 51 2c e9 59 2f 10 }
    $xor_20 = { aa 6e 14 10 6e 10 10 6e 11 10 6e 12 10 6e 13 d6 66 10 2f }
    $xor_21 = { ab 6f 15 11 6f 11 11 6f 10 11 6f 13 11 6f 12 d7 67 11 2e }
    $xor_22 = { a8 6c 16 12 6c 12 12 6c 13 12 6c 10 12 6c 11 d4 64 12 2d }
    $xor_23 = { a9 6d 17 13 6d 13 13 6d 12 13 6d 11 13 6d 10 d5 65 13 2c }
    $xor_24 = { ae 6a 10 14 6a 14 14 6a 15 14 6a 16 14 6a 17 d2 62 14 2b }
    $xor_25 = { af 6b 11 15 6b 15 15 6b 14 15 6b 17 15 6b 16 d3 63 15 2a }
    $xor_26 = { ac 68 12 16 68 16 16 68 17 16 68 14 16 68 15 d0 60 16 29 }
    $xor_27 = { ad 69 13 17 69 17 17 69 16 17 69 15 17 69 14 d1 61 17 28 }
    $xor_28 = { a2 66 1c 18 66 18 18 66 19 18 66 1a 18 66 1b de 6e 18 27 }
    $xor_29 = { a3 67 1d 19 67 19 19 67 18 19 67 1b 19 67 1a df 6f 19 26 }
    $xor_2A = { a0 64 1e 1a 64 1a 1a 64 1b 1a 64 18 1a 64 19 dc 6c 1a 25 }
    $xor_2B = { a1 65 1f 1b 65 1b 1b 65 1a 1b 65 19 1b 65 18 dd 6d 1b 24 }
    $xor_2C = { a6 62 18 1c 62 1c 1c 62 1d 1c 62 1e 1c 62 1f da 6a 1c 23 }
    $xor_2D = { a7 63 19 1d 63 1d 1d 63 1c 1d 63 1f 1d 63 1e db 6b 1d 22 }
    $xor_2E = { a4 60 1a 1e 60 1e 1e 60 1f 1e 60 1c 1e 60 1d d8 68 1e 21 }
    $xor_2F = { a5 61 1b 1f 61 1f 1f 61 1e 1f 61 1d 1f 61 1c d9 69 1f 20 }
    $xor_30 = { ba 7e 04 00 7e 00 00 7e 01 00 7e 02 00 7e 03 c6 76 00 3f }
    $xor_31 = { bb 7f 05 01 7f 01 01 7f 00 01 7f 03 01 7f 02 c7 77 01 3e }
    $xor_32 = { b8 7c 06 02 7c 02 02 7c 03 02 7c 00 02 7c 01 c4 74 02 3d }
    $xor_33 = { b9 7d 07 03 7d 03 03 7d 02 03 7d 01 03 7d 00 c5 75 03 3c }
    $xor_34 = { be 7a 00 04 7a 04 04 7a 05 04 7a 06 04 7a 07 c2 72 04 3b }
    $xor_35 = { bf 7b 01 05 7b 05 05 7b 04 05 7b 07 05 7b 06 c3 73 05 3a }
    $xor_36 = { bc 78 02 06 78 06 06 78 07 06 78 04 06 78 05 c0 70 06 39 }
    $xor_37 = { bd 79 03 07 79 07 07 79 06 07 79 05 07 79 04 c1 71 07 38 }
    $xor_38 = { b2 76 0c 08 76 08 08 76 09 08 76 0a 08 76 0b ce 7e 08 37 }
    $xor_39 = { b3 77 0d 09 77 09 09 77 08 09 77 0b 09 77 0a cf 7f 09 36 }
    $xor_3A = { b0 74 0e 0a 74 0a 0a 74 0b 0a 74 08 0a 74 09 cc 7c 0a 35 }
    $xor_3B = { b1 75 0f 0b 75 0b 0b 75 0a 0b 75 09 0b 75 08 cd 7d 0b 34 }
    $xor_3C = { b6 72 08 0c 72 0c 0c 72 0d 0c 72 0e 0c 72 0f ca 7a 0c 33 }
    $xor_3D = { b7 73 09 0d 73 0d 0d 73 0c 0d 73 0f 0d 73 0e cb 7b 0d 32 }
    $xor_3E = { b4 70 0a 0e 70 0e 0e 70 0f 0e 70 0c 0e 70 0d c8 78 0e 31 }
    $xor_3F = { b5 71 0b 0f 71 0f 0f 71 0e 0f 71 0d 0f 71 0c c9 79 0f 30 }
    $xor_40 = { ca 0e 74 70 0e 70 70 0e 71 70 0e 72 70 0e 73 b6 06 70 4f }
    $xor_41 = { cb 0f 75 71 0f 71 71 0f 70 71 0f 73 71 0f 72 b7 07 71 4e }
    $xor_42 = { c8 0c 76 72 0c 72 72 0c 73 72 0c 70 72 0c 71 b4 04 72 4d }
    $xor_43 = { c9 0d 77 73 0d 73 73 0d 72 73 0d 71 73 0d 70 b5 05 73 4c }
    $xor_44 = { ce 0a 70 74 0a 74 74 0a 75 74 0a 76 74 0a 77 b2 02 74 4b }
    $xor_45 = { cf 0b 71 75 0b 75 75 0b 74 75 0b 77 75 0b 76 b3 03 75 4a }
    $xor_46 = { cc 08 72 76 08 76 76 08 77 76 08 74 76 08 75 b0 00 76 49 }
    $xor_47 = { cd 09 73 77 09 77 77 09 76 77 09 75 77 09 74 b1 01 77 48 }
    $xor_48 = { c2 06 7c 78 06 78 78 06 79 78 06 7a 78 06 7b be 0e 78 47 }
    $xor_49 = { c3 07 7d 79 07 79 79 07 78 79 07 7b 79 07 7a bf 0f 79 46 }
    $xor_4A = { c0 04 7e 7a 04 7a 7a 04 7b 7a 04 78 7a 04 79 bc 0c 7a 45 }
    $xor_4B = { c1 05 7f 7b 05 7b 7b 05 7a 7b 05 79 7b 05 78 bd 0d 7b 44 }
    $xor_4C = { c6 02 78 7c 02 7c 7c 02 7d 7c 02 7e 7c 02 7f ba 0a 7c 43 }
    $xor_4D = { c7 03 79 7d 03 7d 7d 03 7c 7d 03 7f 7d 03 7e bb 0b 7d 42 }
    $xor_4E = { c4 00 7a 7e 00 7e 7e 00 7f 7e 00 7c 7e 00 7d b8 08 7e 41 }
    $xor_4F = { c5 01 7b 7f 01 7f 7f 01 7e 7f 01 7d 7f 01 7c b9 09 7f 40 }
    $xor_50 = { da 1e 64 60 1e 60 60 1e 61 60 1e 62 60 1e 63 a6 16 60 5f }
    $xor_51 = { db 1f 65 61 1f 61 61 1f 60 61 1f 63 61 1f 62 a7 17 61 5e }
    $xor_52 = { d8 1c 66 62 1c 62 62 1c 63 62 1c 60 62 1c 61 a4 14 62 5d }
    $xor_53 = { d9 1d 67 63 1d 63 63 1d 62 63 1d 61 63 1d 60 a5 15 63 5c }
    $xor_54 = { de 1a 60 64 1a 64 64 1a 65 64 1a 66 64 1a 67 a2 12 64 5b }
    $xor_55 = { df 1b 61 65 1b 65 65 1b 64 65 1b 67 65 1b 66 a3 13 65 5a }
    $xor_56 = { dc 18 62 66 18 66 66 18 67 66 18 64 66 18 65 a0 10 66 59 }
    $xor_57 = { dd 19 63 67 19 67 67 19 66 67 19 65 67 19 64 a1 11 67 58 }
    $xor_58 = { d2 16 6c 68 16 68 68 16 69 68 16 6a 68 16 6b ae 1e 68 57 }
    $xor_59 = { d3 17 6d 69 17 69 69 17 68 69 17 6b 69 17 6a af 1f 69 56 }
    $xor_5A = { d0 14 6e 6a 14 6a 6a 14 6b 6a 14 68 6a 14 69 ac 1c 6a 55 }
    $xor_5B = { d1 15 6f 6b 15 6b 6b 15 6a 6b 15 69 6b 15 68 ad 1d 6b 54 }
    $xor_5C = { d6 12 68 6c 12 6c 6c 12 6d 6c 12 6e 6c 12 6f aa 1a 6c 53 }
    $xor_5D = { d7 13 69 6d 13 6d 6d 13 6c 6d 13 6f 6d 13 6e ab 1b 6d 52 }
    $xor_5E = { d4 10 6a 6e 10 6e 6e 10 6f 6e 10 6c 6e 10 6d a8 18 6e 51 }
    $xor_5F = { d5 11 6b 6f 11 6f 6f 11 6e 6f 11 6d 6f 11 6c a9 19 6f 50 }
    $xor_60 = { ea 2e 54 50 2e 50 50 2e 51 50 2e 52 50 2e 53 96 26 50 6f }
    $xor_61 = { eb 2f 55 51 2f 51 51 2f 50 51 2f 53 51 2f 52 97 27 51 6e }
    $xor_62 = { e8 2c 56 52 2c 52 52 2c 53 52 2c 50 52 2c 51 94 24 52 6d }
    $xor_63 = { e9 2d 57 53 2d 53 53 2d 52 53 2d 51 53 2d 50 95 25 53 6c }
    $xor_64 = { ee 2a 50 54 2a 54 54 2a 55 54 2a 56 54 2a 57 92 22 54 6b }
    $xor_65 = { ef 2b 51 55 2b 55 55 2b 54 55 2b 57 55 2b 56 93 23 55 6a }
    $xor_66 = { ec 28 52 56 28 56 56 28 57 56 28 54 56 28 55 90 20 56 69 }
    $xor_67 = { ed 29 53 57 29 57 57 29 56 57 29 55 57 29 54 91 21 57 68 }
    $xor_68 = { e2 26 5c 58 26 58 58 26 59 58 26 5a 58 26 5b 9e 2e 58 67 }
    $xor_69 = { e3 27 5d 59 27 59 59 27 58 59 27 5b 59 27 5a 9f 2f 59 66 }
    $xor_6A = { e0 24 5e 5a 24 5a 5a 24 5b 5a 24 58 5a 24 59 9c 2c 5a 65 }
    $xor_6B = { e1 25 5f 5b 25 5b 5b 25 5a 5b 25 59 5b 25 58 9d 2d 5b 64 }
    $xor_6C = { e6 22 58 5c 22 5c 5c 22 5d 5c 22 5e 5c 22 5f 9a 2a 5c 63 }
    $xor_6D = { e7 23 59 5d 23 5d 5d 23 5c 5d 23 5f 5d 23 5e 9b 2b 5d 62 }
    $xor_6E = { e4 20 5a 5e 20 5e 5e 20 5f 5e 20 5c 5e 20 5d 98 28 5e 61 }
    $xor_6F = { e5 21 5b 5f 21 5f 5f 21 5e 5f 21 5d 5f 21 5c 99 29 5f 60 }
    $xor_70 = { fa 3e 44 40 3e 40 40 3e 41 40 3e 42 40 3e 43 86 36 40 7f }
    $xor_71 = { fb 3f 45 41 3f 41 41 3f 40 41 3f 43 41 3f 42 87 37 41 7e }
    $xor_72 = { f8 3c 46 42 3c 42 42 3c 43 42 3c 40 42 3c 41 84 34 42 7d }
    $xor_73 = { f9 3d 47 43 3d 43 43 3d 42 43 3d 41 43 3d 40 85 35 43 7c }
    $xor_74 = { fe 3a 40 44 3a 44 44 3a 45 44 3a 46 44 3a 47 82 32 44 7b }
    $xor_75 = { ff 3b 41 45 3b 45 45 3b 44 45 3b 47 45 3b 46 83 33 45 7a }
    $xor_76 = { fc 38 42 46 38 46 46 38 47 46 38 44 46 38 45 80 30 46 79 }
    $xor_77 = { fd 39 43 47 39 47 47 39 46 47 39 45 47 39 44 81 31 47 78 }
    $xor_78 = { f2 36 4c 48 36 48 48 36 49 48 36 4a 48 36 4b 8e 3e 48 77 }
    $xor_79 = { f3 37 4d 49 37 49 49 37 48 49 37 4b 49 37 4a 8f 3f 49 76 }
    $xor_7A = { f0 34 4e 4a 34 4a 4a 34 4b 4a 34 48 4a 34 49 8c 3c 4a 75 }
    $xor_7B = { f1 35 4f 4b 35 4b 4b 35 4a 4b 35 49 4b 35 48 8d 3d 4b 74 }
    $xor_7C = { f6 32 48 4c 32 4c 4c 32 4d 4c 32 4e 4c 32 4f 8a 3a 4c 73 }
    $xor_7D = { f7 33 49 4d 33 4d 4d 33 4c 4d 33 4f 4d 33 4e 8b 3b 4d 72 }
    $xor_7E = { f4 30 4a 4e 30 4e 4e 30 4f 4e 30 4c 4e 30 4d 88 38 4e 71 }
    $xor_7F = { f5 31 4b 4f 31 4f 4f 31 4e 4f 31 4d 4f 31 4c 89 39 4f 70 }
    $xor_80 = { 0a ce b4 b0 ce b0 b0 ce b1 b0 ce b2 b0 ce b3 76 c6 b0 8f }
    $xor_81 = { 0b cf b5 b1 cf b1 b1 cf b0 b1 cf b3 b1 cf b2 77 c7 b1 8e }
    $xor_82 = { 08 cc b6 b2 cc b2 b2 cc b3 b2 cc b0 b2 cc b1 74 c4 b2 8d }
    $xor_83 = { 09 cd b7 b3 cd b3 b3 cd b2 b3 cd b1 b3 cd b0 75 c5 b3 8c }
    $xor_84 = { 0e ca b0 b4 ca b4 b4 ca b5 b4 ca b6 b4 ca b7 72 c2 b4 8b }
    $xor_85 = { 0f cb b1 b5 cb b5 b5 cb b4 b5 cb b7 b5 cb b6 73 c3 b5 8a }
    $xor_86 = { 0c c8 b2 b6 c8 b6 b6 c8 b7 b6 c8 b4 b6 c8 b5 70 c0 b6 89 }
    $xor_87 = { 0d c9 b3 b7 c9 b7 b7 c9 b6 b7 c9 b5 b7 c9 b4 71 c1 b7 88 }
    $xor_88 = { 02 c6 bc b8 c6 b8 b8 c6 b9 b8 c6 ba b8 c6 bb 7e ce b8 87 }
    $xor_89 = { 03 c7 bd b9 c7 b9 b9 c7 b8 b9 c7 bb b9 c7 ba 7f cf b9 86 }
    $xor_8A = { 00 c4 be ba c4 ba ba c4 bb ba c4 b8 ba c4 b9 7c cc ba 85 }
    $xor_8B = { 01 c5 bf bb c5 bb bb c5 ba bb c5 b9 bb c5 b8 7d cd bb 84 }
    $xor_8C = { 06 c2 b8 bc c2 bc bc c2 bd bc c2 be bc c2 bf 7a ca bc 83 }
    $xor_8D = { 07 c3 b9 bd c3 bd bd c3 bc bd c3 bf bd c3 be 7b cb bd 82 }
    $xor_8E = { 04 c0 ba be c0 be be c0 bf be c0 bc be c0 bd 78 c8 be 81 }
    $xor_8F = { 05 c1 bb bf c1 bf bf c1 be bf c1 bd bf c1 bc 79 c9 bf 80 }
    $xor_90 = { 1a de a4 a0 de a0 a0 de a1 a0 de a2 a0 de a3 66 d6 a0 9f }
    $xor_91 = { 1b df a5 a1 df a1 a1 df a0 a1 df a3 a1 df a2 67 d7 a1 9e }
    $xor_92 = { 18 dc a6 a2 dc a2 a2 dc a3 a2 dc a0 a2 dc a1 64 d4 a2 9d }
    $xor_93 = { 19 dd a7 a3 dd a3 a3 dd a2 a3 dd a1 a3 dd a0 65 d5 a3 9c }
    $xor_94 = { 1e da a0 a4 da a4 a4 da a5 a4 da a6 a4 da a7 62 d2 a4 9b }
    $xor_95 = { 1f db a1 a5 db a5 a5 db a4 a5 db a7 a5 db a6 63 d3 a5 9a }
    $xor_96 = { 1c d8 a2 a6 d8 a6 a6 d8 a7 a6 d8 a4 a6 d8 a5 60 d0 a6 99 }
    $xor_97 = { 1d d9 a3 a7 d9 a7 a7 d9 a6 a7 d9 a5 a7 d9 a4 61 d1 a7 98 }
    $xor_98 = { 12 d6 ac a8 d6 a8 a8 d6 a9 a8 d6 aa a8 d6 ab 6e de a8 97 }
    $xor_99 = { 13 d7 ad a9 d7 a9 a9 d7 a8 a9 d7 ab a9 d7 aa 6f df a9 96 }
    $xor_9A = { 10 d4 ae aa d4 aa aa d4 ab aa d4 a8 aa d4 a9 6c dc aa 95 }
    $xor_9B = { 11 d5 af ab d5 ab ab d5 aa ab d5 a9 ab d5 a8 6d dd ab 94 }
    $xor_9C = { 16 d2 a8 ac d2 ac ac d2 ad ac d2 ae ac d2 af 6a da ac 93 }
    $xor_9D = { 17 d3 a9 ad d3 ad ad d3 ac ad d3 af ad d3 ae 6b db ad 92 }
    $xor_9E = { 14 d0 aa ae d0 ae ae d0 af ae d0 ac ae d0 ad 68 d8 ae 91 }
    $xor_9F = { 15 d1 ab af d1 af af d1 ae af d1 ad af d1 ac 69 d9 af 90 }
    $xor_A0 = { 2a ee 94 90 ee 90 90 ee 91 90 ee 92 90 ee 93 56 e6 90 af }
    $xor_A1 = { 2b ef 95 91 ef 91 91 ef 90 91 ef 93 91 ef 92 57 e7 91 ae }
    $xor_A2 = { 28 ec 96 92 ec 92 92 ec 93 92 ec 90 92 ec 91 54 e4 92 ad }
    $xor_A3 = { 29 ed 97 93 ed 93 93 ed 92 93 ed 91 93 ed 90 55 e5 93 ac }
    $xor_A4 = { 2e ea 90 94 ea 94 94 ea 95 94 ea 96 94 ea 97 52 e2 94 ab }
    $xor_A5 = { 2f eb 91 95 eb 95 95 eb 94 95 eb 97 95 eb 96 53 e3 95 aa }
    $xor_A6 = { 2c e8 92 96 e8 96 96 e8 97 96 e8 94 96 e8 95 50 e0 96 a9 }
    $xor_A7 = { 2d e9 93 97 e9 97 97 e9 96 97 e9 95 97 e9 94 51 e1 97 a8 }
    $xor_A8 = { 22 e6 9c 98 e6 98 98 e6 99 98 e6 9a 98 e6 9b 5e ee 98 a7 }
    $xor_A9 = { 23 e7 9d 99 e7 99 99 e7 98 99 e7 9b 99 e7 9a 5f ef 99 a6 }
    $xor_AA = { 20 e4 9e 9a e4 9a 9a e4 9b 9a e4 98 9a e4 99 5c ec 9a a5 }
    $xor_AB = { 21 e5 9f 9b e5 9b 9b e5 9a 9b e5 99 9b e5 98 5d ed 9b a4 }
    $xor_AC = { 26 e2 98 9c e2 9c 9c e2 9d 9c e2 9e 9c e2 9f 5a ea 9c a3 }
    $xor_AD = { 27 e3 99 9d e3 9d 9d e3 9c 9d e3 9f 9d e3 9e 5b eb 9d a2 }
    $xor_AE = { 24 e0 9a 9e e0 9e 9e e0 9f 9e e0 9c 9e e0 9d 58 e8 9e a1 }
    $xor_AF = { 25 e1 9b 9f e1 9f 9f e1 9e 9f e1 9d 9f e1 9c 59 e9 9f a0 }
    $xor_B0 = { 3a fe 84 80 fe 80 80 fe 81 80 fe 82 80 fe 83 46 f6 80 bf }
    $xor_B1 = { 3b ff 85 81 ff 81 81 ff 80 81 ff 83 81 ff 82 47 f7 81 be }
    $xor_B2 = { 38 fc 86 82 fc 82 82 fc 83 82 fc 80 82 fc 81 44 f4 82 bd }
    $xor_B3 = { 39 fd 87 83 fd 83 83 fd 82 83 fd 81 83 fd 80 45 f5 83 bc }
    $xor_B4 = { 3e fa 80 84 fa 84 84 fa 85 84 fa 86 84 fa 87 42 f2 84 bb }
    $xor_B5 = { 3f fb 81 85 fb 85 85 fb 84 85 fb 87 85 fb 86 43 f3 85 ba }
    $xor_B6 = { 3c f8 82 86 f8 86 86 f8 87 86 f8 84 86 f8 85 40 f0 86 b9 }
    $xor_B7 = { 3d f9 83 87 f9 87 87 f9 86 87 f9 85 87 f9 84 41 f1 87 b8 }
    $xor_B8 = { 32 f6 8c 88 f6 88 88 f6 89 88 f6 8a 88 f6 8b 4e fe 88 b7 }
    $xor_B9 = { 33 f7 8d 89 f7 89 89 f7 88 89 f7 8b 89 f7 8a 4f ff 89 b6 }
    $xor_BA = { 30 f4 8e 8a f4 8a 8a f4 8b 8a f4 88 8a f4 89 4c fc 8a b5 }
    $xor_BB = { 31 f5 8f 8b f5 8b 8b f5 8a 8b f5 89 8b f5 88 4d fd 8b b4 }
    $xor_BC = { 36 f2 88 8c f2 8c 8c f2 8d 8c f2 8e 8c f2 8f 4a fa 8c b3 }
    $xor_BD = { 37 f3 89 8d f3 8d 8d f3 8c 8d f3 8f 8d f3 8e 4b fb 8d b2 }
    $xor_BE = { 34 f0 8a 8e f0 8e 8e f0 8f 8e f0 8c 8e f0 8d 48 f8 8e b1 }
    $xor_BF = { 35 f1 8b 8f f1 8f 8f f1 8e 8f f1 8d 8f f1 8c 49 f9 8f b0 }
    $xor_C0 = { 4a 8e f4 f0 8e f0 f0 8e f1 f0 8e f2 f0 8e f3 36 86 f0 cf }
    $xor_C1 = { 4b 8f f5 f1 8f f1 f1 8f f0 f1 8f f3 f1 8f f2 37 87 f1 ce }
    $xor_C2 = { 48 8c f6 f2 8c f2 f2 8c f3 f2 8c f0 f2 8c f1 34 84 f2 cd }
    $xor_C3 = { 49 8d f7 f3 8d f3 f3 8d f2 f3 8d f1 f3 8d f0 35 85 f3 cc }
    $xor_C4 = { 4e 8a f0 f4 8a f4 f4 8a f5 f4 8a f6 f4 8a f7 32 82 f4 cb }
    $xor_C5 = { 4f 8b f1 f5 8b f5 f5 8b f4 f5 8b f7 f5 8b f6 33 83 f5 ca }
    $xor_C6 = { 4c 88 f2 f6 88 f6 f6 88 f7 f6 88 f4 f6 88 f5 30 80 f6 c9 }
    $xor_C7 = { 4d 89 f3 f7 89 f7 f7 89 f6 f7 89 f5 f7 89 f4 31 81 f7 c8 }
    $xor_C8 = { 42 86 fc f8 86 f8 f8 86 f9 f8 86 fa f8 86 fb 3e 8e f8 c7 }
    $xor_C9 = { 43 87 fd f9 87 f9 f9 87 f8 f9 87 fb f9 87 fa 3f 8f f9 c6 }
    $xor_CA = { 40 84 fe fa 84 fa fa 84 fb fa 84 f8 fa 84 f9 3c 8c fa c5 }
    $xor_CB = { 41 85 ff fb 85 fb fb 85 fa fb 85 f9 fb 85 f8 3d 8d fb c4 }
    $xor_CC = { 46 82 f8 fc 82 fc fc 82 fd fc 82 fe fc 82 ff 3a 8a fc c3 }
    $xor_CD = { 47 83 f9 fd 83 fd fd 83 fc fd 83 ff fd 83 fe 3b 8b fd c2 }
    $xor_CE = { 44 80 fa fe 80 fe fe 80 ff fe 80 fc fe 80 fd 38 88 fe c1 }
    $xor_CF = { 45 81 fb ff 81 ff ff 81 fe ff 81 fd ff 81 fc 39 89 ff c0 }
    $xor_D0 = { 5a 9e e4 e0 9e e0 e0 9e e1 e0 9e e2 e0 9e e3 26 96 e0 df }
    $xor_D1 = { 5b 9f e5 e1 9f e1 e1 9f e0 e1 9f e3 e1 9f e2 27 97 e1 de }
    $xor_D2 = { 58 9c e6 e2 9c e2 e2 9c e3 e2 9c e0 e2 9c e1 24 94 e2 dd }
    $xor_D3 = { 59 9d e7 e3 9d e3 e3 9d e2 e3 9d e1 e3 9d e0 25 95 e3 dc }
    $xor_D4 = { 5e 9a e0 e4 9a e4 e4 9a e5 e4 9a e6 e4 9a e7 22 92 e4 db }
    $xor_D5 = { 5f 9b e1 e5 9b e5 e5 9b e4 e5 9b e7 e5 9b e6 23 93 e5 da }
    $xor_D6 = { 5c 98 e2 e6 98 e6 e6 98 e7 e6 98 e4 e6 98 e5 20 90 e6 d9 }
    $xor_D7 = { 5d 99 e3 e7 99 e7 e7 99 e6 e7 99 e5 e7 99 e4 21 91 e7 d8 }
    $xor_D8 = { 52 96 ec e8 96 e8 e8 96 e9 e8 96 ea e8 96 eb 2e 9e e8 d7 }
    $xor_D9 = { 53 97 ed e9 97 e9 e9 97 e8 e9 97 eb e9 97 ea 2f 9f e9 d6 }
    $xor_DA = { 50 94 ee ea 94 ea ea 94 eb ea 94 e8 ea 94 e9 2c 9c ea d5 }
    $xor_DB = { 51 95 ef eb 95 eb eb 95 ea eb 95 e9 eb 95 e8 2d 9d eb d4 }
    $xor_DC = { 56 92 e8 ec 92 ec ec 92 ed ec 92 ee ec 92 ef 2a 9a ec d3 }
    $xor_DD = { 57 93 e9 ed 93 ed ed 93 ec ed 93 ef ed 93 ee 2b 9b ed d2 }
    $xor_DE = { 54 90 ea ee 90 ee ee 90 ef ee 90 ec ee 90 ed 28 98 ee d1 }
    $xor_DF = { 55 91 eb ef 91 ef ef 91 ee ef 91 ed ef 91 ec 29 99 ef d0 }
    $xor_E0 = { 6a ae d4 d0 ae d0 d0 ae d1 d0 ae d2 d0 ae d3 16 a6 d0 ef }
    $xor_E1 = { 6b af d5 d1 af d1 d1 af d0 d1 af d3 d1 af d2 17 a7 d1 ee }
    $xor_E2 = { 68 ac d6 d2 ac d2 d2 ac d3 d2 ac d0 d2 ac d1 14 a4 d2 ed }
    $xor_E3 = { 69 ad d7 d3 ad d3 d3 ad d2 d3 ad d1 d3 ad d0 15 a5 d3 ec }
    $xor_E4 = { 6e aa d0 d4 aa d4 d4 aa d5 d4 aa d6 d4 aa d7 12 a2 d4 eb }
    $xor_E5 = { 6f ab d1 d5 ab d5 d5 ab d4 d5 ab d7 d5 ab d6 13 a3 d5 ea }
    $xor_E6 = { 6c a8 d2 d6 a8 d6 d6 a8 d7 d6 a8 d4 d6 a8 d5 10 a0 d6 e9 }
    $xor_E7 = { 6d a9 d3 d7 a9 d7 d7 a9 d6 d7 a9 d5 d7 a9 d4 11 a1 d7 e8 }
    $xor_E8 = { 62 a6 dc d8 a6 d8 d8 a6 d9 d8 a6 da d8 a6 db 1e ae d8 e7 }
    $xor_E9 = { 63 a7 dd d9 a7 d9 d9 a7 d8 d9 a7 db d9 a7 da 1f af d9 e6 }
    $xor_EA = { 60 a4 de da a4 da da a4 db da a4 d8 da a4 d9 1c ac da e5 }
    $xor_EB = { 61 a5 df db a5 db db a5 da db a5 d9 db a5 d8 1d ad db e4 }
    $xor_EC = { 66 a2 d8 dc a2 dc dc a2 dd dc a2 de dc a2 df 1a aa dc e3 }
    $xor_ED = { 67 a3 d9 dd a3 dd dd a3 dc dd a3 df dd a3 de 1b ab dd e2 }
    $xor_EE = { 64 a0 da de a0 de de a0 df de a0 dc de a0 dd 18 a8 de e1 }
    $xor_EF = { 65 a1 db df a1 df df a1 de df a1 dd df a1 dc 19 a9 df e0 }
    $xor_F0 = { 7a be c4 c0 be c0 c0 be c1 c0 be c2 c0 be c3 06 b6 c0 ff }
    $xor_F1 = { 7b bf c5 c1 bf c1 c1 bf c0 c1 bf c3 c1 bf c2 07 b7 c1 fe }
    $xor_F2 = { 78 bc c6 c2 bc c2 c2 bc c3 c2 bc c0 c2 bc c1 04 b4 c2 fd }
    $xor_F3 = { 79 bd c7 c3 bd c3 c3 bd c2 c3 bd c1 c3 bd c0 05 b5 c3 fc }
    $xor_F4 = { 7e ba c0 c4 ba c4 c4 ba c5 c4 ba c6 c4 ba c7 02 b2 c4 fb }
    $xor_F5 = { 7f bb c1 c5 bb c5 c5 bb c4 c5 bb c7 c5 bb c6 03 b3 c5 fa }
    $xor_F6 = { 7c b8 c2 c6 b8 c6 c6 b8 c7 c6 b8 c4 c6 b8 c5 00 b0 c6 f9 }
    $xor_F7 = { 7d b9 c3 c7 b9 c7 c7 b9 c6 c7 b9 c5 c7 b9 c4 01 b1 c7 f8 }
    $xor_F8 = { 72 b6 cc c8 b6 c8 c8 b6 c9 c8 b6 ca c8 b6 cb 0e be c8 f7 }
    $xor_F9 = { 73 b7 cd c9 b7 c9 c9 b7 c8 c9 b7 cb c9 b7 ca 0f bf c9 f6 }
    $xor_FA = { 70 b4 ce ca b4 ca ca b4 cb ca b4 c8 ca b4 c9 0c bc ca f5 }
    $xor_FB = { 71 b5 cf cb b5 cb cb b5 ca cb b5 c9 cb b5 c8 0d bd cb f4 }
    $xor_FC = { 76 b2 c8 cc b2 cc cc b2 cd cc b2 ce cc b2 cf 0a ba cc f3 }
    $xor_FD = { 77 b3 c9 cd b3 cd cd b3 cc cd b3 cf cd b3 ce 0b bb cd f2 }
    $xor_FE = { 74 b0 ca ce b0 ce ce b0 cf ce b0 cc ce b0 cd 08 b8 ce f1 }
    $xor_FF = { 75 b1 cb cf b1 cf cf b1 ce cf b1 cd cf b1 cc 09 b9 cf f0 }


  condition:
    (uint16(0) == 0x5a4d) and any of them
}
[[ currentRule.title && currentRule.title.length > 60 ? currentRule.title.slice(0, 60) + '…' : currentRule.title ]]

55317b3e-4af0-46a9-80c2-9f1f5037d59f
Propose edits, view related rules, and engage with the community through comments.
Executable code, not a declarative rule
This submission is arbitrary [[ currentRule.format ? currentRule.format.toUpperCase() : '' ]] code, not a declarative detection rule — review it as you would any script before running it, and note that it cannot be safely aggregated or auto-executed alongside YARA/Sigma/Suricata/CRS rules.
Rejected pattern present
[[ reason ]]
What does this mean?
Format & documentation suggestions
Not a security issue — this rule is valid and was accepted as-is. These are optional fields/conventions its own format recommends, mainly affecting its quality score and how well it documents itself for other reviewers.
[[ reason ]]
What do these messages mean?
[[ currentRule.title && currentRule.title.length > 60 ? currentRule.title.slice(0, 60) + '…' : currentRule.title ]]

[[ currentRule.title ]]

Community Discussion
