Linux_Ransomware_Helldown

YARA detection rule by ReversingLabs · MIT

Yara rule that detects Helldown ransomware.

rule Linux_Ransomware_Helldown : tc_detection malicious
{
    meta:

        author              = "ReversingLabs"

        source              = "ReversingLabs"
        status              = "RELEASED"
        sharing             = "TLP:WHITE"
        category            = "MALWARE"
        malware             = "HELLDOWN"
        description         = "Yara rule that detects Helldown ransomware."

        tc_detection_type   = "Ransomware"
        tc_detection_name   = "Helldown"
        tc_detection_factor = 5

    strings:

        $find_files = {
            41 56 41 55 41 54 49 89 FC 55 53 0F 1F 44 00 ?? 49 8B 74 24 ?? 49 8B 3C 24 E8 ?? ??
            ?? ?? 48 85 C0 48 89 C5 0F 84 ?? ?? ?? ?? 48 8B 38 E8 ?? ?? ?? ?? 48 85 C0 48 89 C3
            0F 84 ?? ?? ?? ?? 66 90 48 89 DF E8 ?? ?? ?? ?? 48 85 C0 49 89 C6 0F 84 ?? ?? ?? ??
            0F B6 40 ?? 3C ?? 0F 84 ?? ?? ?? ?? 3C ?? 75 ?? 49 83 C6 ?? 4C 89 F7 E8 ?? ?? ?? ??
            85 C0 74 ?? 48 8B 7D ?? E8 ?? ?? ?? ?? 4C 89 F7 49 89 C5 E8 ?? ?? ?? ?? 49 8D 7C 05
            ?? E8 ?? ?? ?? ?? 48 8B 75 ?? 49 89 C5 48 89 C7 E8 ?? ?? ?? ?? 4C 89 EF E8 ?? ?? ??
            ?? 4C 89 F6 4C 89 EF 66 41 C7 44 05 ?? ?? ?? E8 ?? ?? ?? ?? 4C 89 EF E8 ?? ?? ?? ??
            4C 89 EF 49 89 C6 E8 ?? ?? ?? ?? 49 8B 54 24 ?? 49 8B 7C 24 ?? 48 89 C6 4C 89 70 ??
            E8 ?? ?? ?? ?? 49 8B 7C 24 ?? E8 ?? ?? ?? ?? 4D 85 ED 0F 84 ?? ?? ?? ?? 4C 89 EF E8
            ?? ?? ?? ?? 48 89 DF E8 ?? ?? ?? ?? 48 85 C0 49 89 C6 0F 85 ?? ?? ?? ?? 0F 1F 40 ??
            48 89 DF E8 ?? ?? ?? ?? 48 89 EF E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 0F 1F 00 41 80 7E ??
            ?? 0F 84 ?? ?? ?? ?? 48 8B 7D ?? 49 83 C6 ?? E8 ?? ?? ?? ?? 4C 89 F7 49 89 C5 E8 ??
            ?? ?? ?? 49 8D 7C 05 ?? E8 ?? ?? ?? ?? 48 8B 75 ?? 49 89 C5 48 89 C7 E8 ?? ?? ?? ??
            4C 89 EF E8 ?? ?? ?? ?? 4C 89 F6 4C 89 EF 66 41 C7 44 05 ?? ?? ?? E8 ?? ?? ?? ?? 4C
            89 EF E8 ?? ?? ?? ?? 4D 85 ED 49 89 C6 74 ?? 4C 89 EF E8 ?? ?? ?? ?? 49 8B 54 24 ??
            49 8B 3C 24 4C 89 F6 E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 0F 1F 00 5B 5D 41 5C 41 5D 41 5E
            C3
        }

        $encrypt_files_p1 = {
            41 57 48 89 F8 41 56 41 55 41 54 55 53 48 83 EC ?? 48 89 7C 24 ?? 66 2E 0F 1F 84 00
            ?? ?? 00 00 48 8B 78 ?? E8 ?? ?? ?? ?? 48 8B 54 24 ?? 48 8B 72 ?? 48 8B 7A ?? E8 ??
            ?? ?? ?? 48 85 C0 48 89 44 24 ?? 0F 84 ?? ?? ?? ?? 48 8B 30 4C 8B 68 ?? 48 85 F6 0F
            84 ?? ?? ?? ?? 48 89 F7 48 C7 44 24 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? BE ?? ?? ?? ?? 48
            89 44 24 ?? 48 89 C7 31 C0 E8 ?? ?? ?? ?? 85 C0 89 C3 0F 88 ?? ?? ?? ?? 49 81 FD ??
            ?? ?? ?? B8 ?? ?? ?? ?? 41 BF ?? ?? ?? ?? 44 0F 4C F8 BA ?? ?? ?? ?? 49 8D 85 ?? ??
            ?? ?? BD ?? ?? ?? ?? 41 BC ?? ?? ?? ?? BF ?? ?? ?? ?? 48 0F 4C EA B2 ?? 44 0F 4C E2
            48 3D ?? ?? ?? ?? BA ?? ?? ?? ?? B8 ?? ?? ?? ?? 48 0F 46 EA 44 0F 46 FA 44 0F 46 E0
            BA ?? ?? ?? ?? 49 81 FD ?? ?? ?? ?? B8 ?? ?? ?? ?? 45 0F 4E E5 48 0F 4E EA 44 0F 4E
            F8 E8 ?? ?? ?? ?? 48 85 C0 48 89 44 24 ?? 0F 84 ?? ?? ?? ?? 45 89 E4 48 89 C7 BE ??
            ?? ?? ?? E8 ?? ?? ?? ?? 4C 89 E7 4C 89 64 24 ?? 48 89 44 24 ?? E8 ?? ?? ?? ?? 4C 89
        }

        $encrypt_files_p2 = {
            EA 49 89 C4 4C 89 E8 48 C1 FA ?? 45 31 ED 48 F7 FD 31 ED 48 89 44 24 ?? 0F 1F 40 ??
            31 D2 48 89 EE 89 DF E8 ?? ?? ?? ?? 48 8B 54 24 ?? 4C 89 E6 89 DF 41 83 C5 ?? E8 ??
            ?? ?? ?? 48 8B 7C 24 ?? 48 8D 54 24 ?? 31 C9 41 89 C1 4D 89 E0 BE ?? ?? ?? ?? 41 89
            C6 E8 ?? ?? ?? ?? 31 D2 48 89 EE 89 DF E8 ?? ?? ?? ?? 44 89 F2 4C 89 E6 89 DF E8 ??
            ?? ?? ?? 48 03 6C 24 ?? 45 39 EF 7F ?? 31 F6 BA ?? ?? ?? ?? 89 DF E8 ?? ?? ?? ?? 48
            8B 74 24 ?? BA ?? ?? ?? ?? 89 DF E8 ?? ?? ?? ?? 89 DF E8 ?? ?? ?? ?? 48 8B 7C 24 ??
            E8 ?? ?? ?? ?? 48 83 7C 24 ?? ?? 74 ?? 48 8B 7C 24 ?? E8 ?? ?? ?? ?? 4D 85 E4 74 ??
            4C 89 E7 E8 ?? ?? ?? ?? 48 8B 7C 24 ?? E8 ?? ?? ?? ?? 48 83 7C 24 ?? ?? 74 ?? 48 8B
            7C 24 ?? E8 ?? ?? ?? ?? 48 8B 44 24 ?? 48 8B 30 BF ?? ?? ?? ?? 31 C0 E8 ?? ?? ?? ??
            48 8B 7C 24 ?? E8 ?? ?? ?? ?? 48 8B 44 24 ?? E9 ?? ?? ?? ?? 0F 1F 40 ?? 48 8B 54 24
            ?? 48 8B 32 EB ?? 66 0F 1F 44 00 ?? 48 83 C4 ?? 5B 5D 41 5C 41 5D 41 5E 41 5F
        }

        $drop_ransom_note = {
            48 89 5C 24 ?? 48 89 6C 24 ?? 4C 89 64 24 ?? 4C 89 6C 24 ?? 49 89 FC 48 83 EC ?? BF
            ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 C7 00 ?? ?? ?? ?? 48 C7 40 ?? ?? ?? ?? ?? BE ?? ?? ??
            ?? C7 40 ?? ?? ?? ?? ?? C6 40 ?? ?? 48 89 C7 48 8B 15 ?? ?? ?? ?? 48 89 C3 31 C0 E8
            ?? ?? ?? ?? 4C 89 E7 E8 ?? ?? ?? ?? 48 89 DF 48 89 C5 E8 ?? ?? ?? ?? 4C 8D 6C 05 ??
            31 ED 4D 85 ED 74 ?? 4C 89 EF E8 ?? ?? ?? ?? 4C 89 EA 31 F6 48 89 C7 48 89 C5 E8 ??
            ?? ?? ?? 4C 89 E6 48 89 EF E8 ?? ?? ?? ?? BE ?? ?? ?? ?? 48 89 EF E8 ?? ?? ?? ?? 48
            89 DE 48 89 EF C6 40 ?? ?? E8 ?? ?? ?? ?? 31 F6 48 89 EF E8 ?? ?? ?? ?? 85 C0 75 ??
            48 85 ED 74 ?? 48 89 EF E8 ?? ?? ?? ?? 48 85 DB 0F 84 ?? ?? ?? ?? 48 89 DF 48 8B 6C
            24 ?? 48 8B 5C 24 ?? 4C 8B 64 24 ?? 4C 8B 6C 24 ?? 48 83 C4 ?? E9 ?? ?? ?? ?? 66 0F
            1F 44 00 ?? 48 89 EF BA ?? ?? ?? ?? BE ?? ?? ?? ?? 31 C0 E8 ?? ?? ?? ?? 48 8B 3D ??
            ?? ?? ?? 41 B9 ?? ?? ?? ?? 45 31 C0 31 C9 BA ?? ?? ?? ?? 41 89 C4 48 89 FE E8 ?? ??
            ?? ?? 48 8B 40 ?? 4C 8B 68 ?? 4C 89 EF E8 ?? ?? ?? ?? 44 89 E7 48 89 C2 4C 89 EE E8
            ?? ?? ?? ?? 44 89 E7 E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 0F 1F 80 ?? ?? ?? ?? 48 8B 5C 24
            ?? 48 8B 6C 24 ?? 4C 8B 64 24 ?? 4C 8B 6C 24 ?? 48 83 C4 ?? C3
        }

        $kill_virtual_machines_p1 = {
            41 57 31 C0 B9 ?? ?? ?? ?? 41 56 41 55 41 54 55 89 FD 53 48 81 EC ?? ?? ?? ?? 48 89
            E7 48 89 E3 F3 48 AB C6 07 ?? BF ?? ?? ?? ?? E8 ?? ?? ?? ?? BA ?? ?? ?? ?? 31 F6 48
            89 C7 49 89 C4 E8 ?? ?? ?? ?? BE ?? ?? ?? ?? BF ?? ?? ?? ?? E8 ?? ?? ?? ?? BA ?? ??
            ?? ?? 48 89 C1 BE ?? ?? ?? ?? 49 89 C5 4C 89 E7 E8 ?? ?? ?? ?? 4C 89 EF E8 ?? ?? ??
            ?? BE ?? ?? ?? ?? 4C 89 E7 E8 ?? ?? ?? ?? 48 85 C0 0F 84 ?? ?? ?? ?? 41 BF ?? ?? ??
            ?? EB ?? 90 83 FD ?? 0F 84 ?? ?? ?? ?? 83 FD ?? 0F 84 ?? ?? ?? ?? BE ?? ?? ?? ?? 48
            89 DF E8 ?? ?? ?? ?? 4C 89 F6 48 89 DF E8 ?? ?? ?? ?? BE ?? ?? ?? ?? 48 89 DF E8 ??
            ?? ?? ?? 48 89 C7 E8 ?? ?? ?? ?? 49 8D 7D ?? BE ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 85 C0
            0F 84 ?? ?? ?? ?? 4C 8D 70 ?? BE ?? ?? ?? ?? 4C 89 F7 E8 ?? ?? ?? ?? 48 89 DF C6 00
            ?? 49 89 C5 4C 89 F9 31 C0 83 FD ?? F3 48 AB 48 8B 05 ?? ?? ?? ?? 48 89 03 48 8B 05
            ?? ?? ?? ?? 48 89 43 ?? 48 8B 05 ?? ?? ?? ?? 48 89 43 ?? 8B 05 ?? ?? ?? ?? 89 43
        }

        $kill_virtual_machines_p2 = {
            0F B7 05 ?? ?? ?? ?? 66 89 43 ?? 0F B6 05 ?? ?? ?? ?? 88 43 ?? 0F 85 ?? ?? ?? ?? 48
            89 D9 8B 11 48 83 C1 ?? 8D 82 ?? ?? ?? ?? F7 D2 21 D0 25 ?? ?? ?? ?? 74 ?? 89 C2 C1
            EA ?? A9 ?? ?? ?? ?? 0F 44 C2 48 8D 51 ?? 48 0F 44 CA 00 C0 48 83 D9 ?? C7 01 ?? ??
            ?? ?? C6 41 ?? ?? E9 ?? ?? ?? ?? 0F 1F 44 00 ?? 48 89 D9 8B 11 48 83 C1 ?? 8D 82 ??
            ?? ?? ?? F7 D2 21 D0 25 ?? ?? ?? ?? 74 ?? 89 C2 C1 EA ?? A9 ?? ?? ?? ?? 0F 44 C2 48
            8D 51 ?? 48 0F 44 CA 00 C0 48 83 D9 ?? C7 01 ?? ?? ?? ?? C6 41 ?? ?? E9 ?? ?? ?? ??
            0F 1F 40 ?? 48 89 D9 8B 11 48 83 C1 ?? 8D 82 ?? ?? ?? ?? F7 D2 21 D0 25 ?? ?? ?? ??
            74 ?? 89 C2 C1 EA ?? A9 ?? ?? ?? ?? 0F 44 C2 48 8D 51 ?? 48 0F 44 CA 00 C0 48 83 D9
            ?? C7 01 ?? ?? ?? ?? 66 C7 41 ?? ?? ?? E9 ?? ?? ?? ?? 66 2E 0F 1F 84 00 ?? ?? 00 00
            4D 85 E4 74 ?? 4C 89 E7 E8 ?? ?? ?? ?? 48 81 C4 ?? ?? ?? ?? 5B 5D 41 5C 41 5D 41 5E
            41 5F C3
        }

    condition:
        uint32(0) == 0x464C457F and
        (
            $find_files
        ) and
        (
            all of ($encrypt_files_p*)
        ) and
        (
            $drop_ransom_note
        ) and
        (
            all of ($kill_virtual_machines_p*)
        )
}

[[ currentRule.title && currentRule.title.length > 60 ? currentRule.title.slice(0, 60) + '…' : currentRule.title ]]

9a969c20-a21a-42f8-aba6-41c4e9c83274

Propose edits, view related rules, and engage with the community through comments.

Executable code, not a declarative rule

This submission is arbitrary [[ currentRule.format ? currentRule.format.toUpperCase() : '' ]] code, not a declarative detection rule — review it as you would any script before running it, and note that it cannot be safely aggregated or auto-executed alongside YARA/Sigma/Suricata/CRS rules.

Rejected pattern present

[[ reason ]]

What does this mean?

Format & documentation suggestions

Not a security issue — this rule is valid and was accepted as-is. These are optional fields/conventions its own format recommends, mainly affecting its quality score and how well it documents itself for other reviewers.

[[ reason ]]

What do these messages mean?

[[ currentRule.title && currentRule.title.length > 60 ? currentRule.title.slice(0, 60) + '…' : currentRule.title ]]

[[ currentRule.title ]]

Community Discussion