risepro

YARA detection rule by c3rb3ru5d3d53c · The Unlicense

Detects RisePro

rule risepro : hardened
{
	meta:
		author = "c3rb3ru5d3d53c"
		description = "Detects RisePro"
		hash = "2cd2f077ca597ad0ef234a357ea71558d5e039da9df9958d0b8bd0efa92e74c9"
		created = "2023-06-18"
		os = "windows"
		tlp = "white"
		rev = 1
		ruleset = "risepro.yara-4.0.2.yara"
		repository = "c3rb3ru5d3d53c/signatures"
		source_url = "https://github.com/c3rb3ru5d3d53c/signatures/blob/edc52b6519f00b6ed1a7fdd3b1040e87df7dbad7/signatures/malware/risepro/risepro.yara-4.0.2.yara"
		license = "The Unlicense"
		score = 75

	strings:
		$trait_0 = {
            8b ff 55 8b ec 83 ec 28 8d 4d ?? 56 57 6a 00 e8
            d6 f5 ff ff 8d 45 ?? 50 ff 75 ?? e8 b7 f9 ff ff
            59 59 8d 4d ?? 8b f0 8b fa e8 04 f6 ff ff 8b d7
            8b c6 5f 5e c9 c3}
		$trait_2 = {
            8b c7 83 ff 40 99 89 46 ?? 6a 3f 58 0f 4d f8 89
            56 ?? 8b 55 ?? 33 c0 33 c9 0f ab f8 83 ff 20 0f
            43 c8 33 c1 83 ff 40 0f 43 c8 09 44 1a ?? 09 4c
            1a ?? 66 83 4e ?? ?? 5f 8b c6 5e 5b c9 c3}
		$trait_4 = {
            8b 45 ?? 0f b7 c0 8d 04 48 0f b6 4c 1f ?? 89 45
            ?? 8b 45 ?? 0f b7 c0 83 c0 fc 66 c1 e1 08 89 45
            ?? 0f b6 44 1f ?? 66 0b c8 0f b6 44 1f ?? 66 03
            45 ?? 0f b7 c9 0f b7 d0 66 85 c9 74 69}
		$trait_5 = {
            8b 43 ?? 56 0f b7 73 ?? 2b d6 0f b7 48 ?? 8b c2
            33 d2 83 e9 04 f7 f1 0f b7 43 ?? 03 d6 3b d0 6a
            04 0f 47 d6 59 03 d1 5e 2b 7d ?? 03 d7 3b d1 5f
            0f 42 d1 66 8b c2 5b c9 c3}
		$trait_6 = {
            8a 4d ?? 8a 45 ?? 8a 55 ?? 8b 7d ?? c0 e9 04 80
            e1 03 c0 e0 02 02 c8 8a 45 ?? 88 4d ?? 8a ca c0
            e9 02 80 e1 0f c0 e0 04 c0 e2 06 02 c8 02 55 ??
            4b 88 4d ?? 88 55 ?? 85 db 7e 24}
		$trait_7 = {
            89 75 ?? ff 75 ?? e8 9b 0d 00 00 59 89 75 ?? ff
            75 ?? ff 75 ?? e8 c1 00 00 00 59 59 8b f0 89 75
            ?? c7 45 ?? ?? ?? ?? ?? e8 15 00 00 00 8b c6 8b
            4d ?? 64 89 0d 00 00 00 00 59 5f 5e 5b c9 c3}
		$trait_8 = {
            b6 45 f8 88 4d ?? c1 e9 08 03 c8 0f b6 45 ?? 88
            4d ?? c1 e9 08 03 c8 0f b6 45 ?? 88 4d ?? c1 e9
            08 03 c8 88 4d ?? c1 e9 08 00 4d ?? 83 c6 c0 8b
            c6 83 d7 ff 83 c3 40 85 ff 77 88}
		$trait_9 = {
            56 b2 2e 8b f1 e8 13 00 00 00 85 c0 74 03 40 eb
            02 8b c6 b2 2f 8b c8 5e e9 00 00 00 00 53 8a da
            eb 0d 3a c3 74 13 51 ff 15 ?? ?? ?? ?? 8b c8 8a
            01 84 c0 75 ed 33 c0 5b c3}
		$trait_10 = {
            56 8b f1 8b 4e ?? e8 3a 01 00 00 8b 4e ?? 8a d0
            85 c9 74 06 5e e9 24 00 00 00 b8 00 10 00 00 66
            85 46 ?? 74 0c 8b 46 ?? 8b 00 8b 48 ?? 8b 09 eb
            e3 6a 62 59 84 d2 0f b6 c2 5e 0f 44 c1 c3}
		$trait_11 = {
            56 8b f1 85 d2 74 34 53 8a 5a ?? f6 c3 04 75 2a
            83 7e ?? ?? 74 08 8b 02 f6 40 ?? ?? 74 1c 8b 4a
            ?? 80 cb 04 88 5a ?? 85 c9 78 0f 8b 42 ?? 6b d1
            28 03 50 ?? 80 6a ?? ?? 74 ce 5b 5e c3}
		$trait_12 = {
            56 8b f1 0f b7 46 ?? a9 60 24 00 00 74 2e a9 00
            20 00 00 74 0f 8b 16 e8 3a 00 00 00 8b ce 5e e9
            b0 ff ff ff a9 00 04 00 00 74 13 8b 4e ?? 85 c9
            74 0c ff 76 ?? ff d1 83 66 ?? ?? 59 5e c3}
		$trait_13 = {
            56 8b 71 ?? 57 6a 05 58 c7 06 40 42 0f 00 8b 51
            ?? eb 04 89 04 96 4a 3b d0 7d f8 33 ff 47 eb 09
            6a 0b 58 2b c2 89 04 96 4a 3b d7 7d f3 80 79 ??
            ?? 74 06 8b 41 ?? 89 3c 86 5f 5e c3}
		$trait_14 = {
            55 8b ec 8b 41 ?? 56 85 c0 74 14 ff 75 ?? ff 75
            ?? ff 75 ?? 52 ff 71 ?? ff d0 83 c4 14 eb 1d 8b
            45 ?? 33 f6 3b 75 ?? 75 10 ff 75 ?? 50 52 ff 71
            ?? ff 51 ?? 83 c4 10 eb 03 83 c8 ff 5e 5d c3}
		$trait_15 = {
            55 8b ec 83 ec 58 53 56 57 8b 7d ?? 33 db 89 4d
            ?? 33 f6 0f 57 c0 89 55 ?? 8b 0f 89 4d ?? 8a 41
            ?? 88 45 ?? 8b 01 89 45 ?? 33 c0 21 45 ?? 66 89
            45 ?? 8a 02 66 0f 13 45 ?? 3c 80 73 07}
		$trait_16 = {
            55 8b ec 83 ec 24 56 8d 75 ?? eb 1e 85 d2 74 1e
            8b 41 ?? 3b 42 ?? 73 0a 89 4e ?? 8b f1 8b 49 ??
            eb 08 89 56 ?? 8b f2 8b 52 ?? 85 c9 75 de 85 c9
            0f 44 ca 89 4e ?? 8b 45 ?? 5e c9 c3}
		$trait_17 = {
            8d 45 ?? 50 8d 45 ?? 50 8d 45 ?? 50 e8 b7 0a ff
            ff 8d 45 ?? 50 8d 45 ?? 50 e8 8a 14 ff ff 83 c4
            14 be 09 00 00 00 ?? ?? 8d 45 ?? 50 50 e8 76 14
            ff ff 83 c4 08 83 ee 01 75 ee}
		$trait_18 = {
            55 8b ec 83 e4 f8 51 56 8b f1 83 7e ?? ?? 75 23
            80 7e ?? ?? 72 1d a1 ?? ?? ?? ?? 85 c0 74 02 ff
            d0 8b ce e8 f8 df ff ff a1 ?? ?? ?? ?? 85 c0 74
            02 ff d0 8b ce e8 18 00 00 00 5e 8b e5 5d c3}
		$trait_19 = {
            55 8b ec 53 8b 5d ?? 56 57 8b 7d ?? 8d 47 ?? 50
            57 53 e8 b9 fd fe ff 8d 77 ?? 56 8d 47 ?? 50 8d
            43 ?? 50 e8 a8 fd fe ff 8d 47 ?? 50 8d 43 ?? 56
            50 e8 9a fd fe ff 83 c4 24 5f 5e 5b 5d c3}
		$trait_20 = {
            55 8b ec 51 56 8b 71 ?? 57 8b fa eb 22 3b 75 ??
            74 1a 85 ff 74 05 39 7e ?? 75 11 80 7e ?? ?? 75
            0b 8b ce e8 12 00 00 00 85 c0 75 09 8b 76 ?? 85
            f6 75 da 33 c0 5f 5e 59 5d c3}
		$trait_21 = {
            55 8b ec 51 56 57 8b fa 8b f1 eb 28 8b 4e ?? e8
            92 01 00 00 85 c0 75 19 3b 7e ?? 73 14 ff 75 ??
            8b d7 8b ce e8 14 00 00 00 59 85 c0 74 03 89 46
            ?? 8b 76 ?? 85 f6 75 d4 5f 5e 59 5d c3}
		$trait_22 = {
            55 8b ec 51 56 57 6a 01 8d 45 ?? 8b f1 50 8b fa
            57 ff 76 ?? ff 56 ?? 83 c4 10 83 f8 01 75 0d 8b
            45 ?? 0f b6 4d ?? 89 08 33 c0 eb 0d 57 ff 76 ??
            ff 56 ?? f7 d8 59 59 1b c0 5f 5e c9 c3}
		$trait_23 = {
            55 8b ec 51 51 53 56 8b 75 ?? 57 8b 46 ?? 8b 4e
            ?? 83 c0 fb 3b c1 0f 46 c8 8b 06 89 4d ?? 33 ff
            8b 40 ?? 89 45 ?? 8b 86 ?? ?? ?? ?? 8b 16 83 c0
            2a c1 f8 03 8b 5a ?? 3b d8 0f 82 04 01 00 00}
		$trait_24 = {
            53 8b dc 83 ec 08 83 e4 f0 83 c4 04 55 8b 6b ??
            89 6c 24 ?? 8b ec 83 ec 28 a1 ?? ?? ?? ?? 33 c5
            89 45 ?? 8b 4b ?? 8b 53 ?? 56 33 f6 89 55 ?? 57
            8b 7b ?? 81 f9 e0 00 00 00 0f 82 15 01 00 00}
		$trait_25 = {
            8d 45 ?? 50 8d 45 ?? 50 8d 45 ?? 50 e8 1d 0a ff
            ff 8d 45 ?? 50 8d 45 ?? 50 e8 f0 13 ff ff 83 c4
            14 be 31 00 00 00 8d 45 ?? 50 50 e8 de 13 ff ff
            83 c4 08 83 ee 01 75 ee}
		$trait_26 = {
            13 c0 03 d1 8b 4d ?? 83 d0 00 23 5d ?? 0b 5d ??
            c1 e3 08 c1 e9 12 0b d9 8b 4d ?? 03 d8 8b 45 ??
            51 03 59 ?? 89 38 89 70 ?? 89 50 ?? 89 58 ?? e8
            82 f8 ff ff 83 c4 08 5f 5e 5b 8b e5 5d c3}
		$trait_27 = {
            0f b6 47 ?? 0f b6 0f 83 c7 02 c1 e0 08 03 c8 8b
            c2 83 e2 3f 25 c0 03 00 00 83 c2 40 81 e1 ff 03
            00 00 03 d0 c1 e2 0a 03 d1 8b 4d ?? 8d 46 ?? 89
            45 ?? 81 fa 80 00 00 00 73 06}
		$trait_28 = {
            0f b6 0f 0f b6 47 ?? 83 c7 02 c1 e1 08 03 c8 8b
            c2 83 e2 3f 25 c0 03 00 00 83 c2 40 81 e1 ff 03
            00 00 03 d0 c1 e2 0a 03 d1 8b 4d ?? 8d 46 ?? 89
            45 ?? 81 fa 80 00 00 00 73 06}

	condition:
		uint16( 0 ) == 0x5a4d and uint32( uint32( 0x3c ) ) == 0x00004550 and 7 of them
}

[[ currentRule.title && currentRule.title.length > 60 ? currentRule.title.slice(0, 60) + '…' : currentRule.title ]]

13cd1c82-5725-4dfd-8153-054a17df9a3e

Propose edits, view related rules, and engage with the community through comments.

Executable code, not a declarative rule

This submission is arbitrary [[ currentRule.format ? currentRule.format.toUpperCase() : '' ]] code, not a declarative detection rule — review it as you would any script before running it, and note that it cannot be safely aggregated or auto-executed alongside YARA/Sigma/Suricata/CRS rules.

Rejected pattern present

[[ reason ]]

What does this mean?

Format & documentation suggestions

Not a security issue — this rule is valid and was accepted as-is. These are optional fields/conventions its own format recommends, mainly affecting its quality score and how well it documents itself for other reviewers.

[[ reason ]]

What do these messages mean?

[[ currentRule.title && currentRule.title.length > 60 ? currentRule.title.slice(0, 60) + '…' : currentRule.title ]]

[[ currentRule.title ]]

Community Discussion