TRELLIX_ARC_Cyaxsharp_Rezer0

YARA detection rule by Max 'Libra' Kersten for McAfee's Advanced Threat Research Team · GPL-2.0

Detects CyaX-Sharp/ReZer0 loader samples based on the embedded scheduled task template

rule TRELLIX_ARC_Cyaxsharp_Rezer0: LOADER {
  meta:
    description  = "Detects CyaX-Sharp/ReZer0 loader samples based on the embedded scheduled task template"
    author       = "Max 'Libra' Kersten for McAfee's Advanced Threat Research Team"
    id           = "7a1addcf-4e8f-5290-8788-9b0738128160"
    date         = "2021-04-08"
    modified     = "2021-08-04"
    reference    = "This rule was published in combination with the following McAfee ATR blog: https://www.mcafee.com/blogs/enterprise/mcafee-enterprise-atr/see-ya-sharp-a-loaders-tale/"
    source_url   = "https://github.com/advanced-threat-research/Yara-Rules//blob/fc51a3fe3b450838614a5a5aa327c6bd8689cbb2/malware/MAL_cyax_sharp_loader.yar#L1-L16"
    license_url  = "https://github.com/advanced-threat-research/Yara-Rules//blob/fc51a3fe3b450838614a5a5aa327c6bd8689cbb2/LICENSE"
    logic_hash   = "3d6daaf7a85a9b3898e4ce5d5293b09f26965f9f7280b34ba8f6814b7f14dec2"
    score        = 75
    quality      = 70
    tags         = "LOADER"
    version      = "1.0"
    malware_type = "loader"

  strings:
    $template = { 01 A1 0C 3C 3F 78 6D 6C 20 76 65 72 73 69 6F 6E 3D 22 31 2E 30 22 20 65 6E 63 6F 64 69 6E 67 3D 22 55 54 46 2D 31 36 22 3F 3E 0D 0A 3C 54 61 73 6B 20 76 65 72 73 69 6F 6E 3D 22 31 2E 32 22 20 78 6D 6C 6E 73 3D 22 68 74 74 70 3A 2F 2F 73 63 68 65 6D 61 73 2E 6D 69 63 72 6F 73 6F 66 74 2E 63 6F 6D 2F 77 69 6E 64 6F 77 73 2F 32 30 30 34 2F 30 32 2F 6D 69 74 2F 74 61 73 6B 22 3E 0D 0A 20 20 3C 52 65 67 69 73 74 72 61 74 69 6F 6E 49 6E 66 6F 3E 0D 0A 20 20 20 20 3C 44 61 74 65 3E 32 30 31 34 2D 31 30 2D 32 35 54 31 34 3A 32 37 3A 34 34 2E 38 39 32 39 30 32 37 3C 2F 44 61 74 65 3E 0D 0A 20 20 20 20 3C 41 75 74 68 6F 72 3E 5B 55 53 45 52 49 44 5D 3C 2F 41 75 74 68 6F 72 3E 0D 0A 20 20 3C 2F 52 65 67 69 73 74 72 61 74 69 6F 6E 49 6E 66 6F 3E 0D 0A 20 20 3C 54 72 69 67 67 65 72 73 3E 0D 0A 20 20 20 20 3C 4C 6F 67 6F 6E 54 72 69 67 67 65 72 3E 0D 0A 20 20 20 20 20 20 3C 45 6E 61 62 6C 65 64 3E 74 72 75 65 3C 2F 45 6E 61 62 6C 65 64 3E 0D 0A 20 20 20 20 20 20 3C 55 73 65 72 49 64 3E 5B 55 53 45 52 49 44 5D 3C 2F 55 73 65 72 49 64 3E 0D 0A 20 20 20 20 3C 2F 4C 6F 67 6F 6E 54 72 69 67 67 65 72 3E 0D 0A 20 20 20 20 3C 52 65 67 69 73 74 72 61 74 69 6F 6E 54 72 69 67 67 65 72 3E 0D 0A 20 20 20 20 20 20 3C 45 6E 61 62 6C 65 64 3E 66 61 6C 73 65 3C 2F 45 6E 61 62 6C 65 64 3E 0D 0A 20 20 20 20 3C 2F 52 65 67 69 73 74 72 61 74 69 6F 6E 54 72 69 67 67 65 72 3E 0D 0A 20 20 3C 2F 54 72 69 67 67 65 72 73 3E 0D 0A 20 20 3C 50 72 69 6E 63 69 70 61 6C 73 3E 0D 0A 20 20 20 20 3C 50 72 69 6E 63 69 70 61 6C 20 69 64 3D 22 41 75 74 68 6F 72 22 3E 0D 0A 20 20 20 20 20 20 3C 55 73 65 72 49 64 3E 5B 55 53 45 52 49 44 5D 3C 2F 55 73 65 72 49 64 3E 0D 0A 20 20 20 20 20 20 3C 4C 6F 67 6F 6E 54 79 70 65 3E 49 6E 74 65 72 61 63 74 69 76 65 54 6F 6B 65 6E 3C 2F 4C 6F 67 6F 6E 54 79 70 65 3E 0D 0A 20 20 20 20 20 20 3C 52 75 6E 4C 65 76 65 6C 3E 4C 65 61 73 74 50 72 69 76 69 6C 65 67 65 3C 2F 52 75 6E 4C 65 76 65 6C 3E 0D 0A 20 20 20 20 3C 2F 50 72 69 6E 63 69 70 61 6C 3E 0D 0A 20 20 3C 2F 50 72 69 6E 63 69 70 61 6C 73 3E 0D 0A 20 20 3C 53 65 74 74 69 6E 67 73 3E 0D 0A 20 20 20 20 3C 4D 75 6C 74 69 70 6C 65 49 6E 73 74 61 6E 63 65 73 50 6F 6C 69 63 79 3E 53 74 6F 70 45 78 69 73 74 69 6E 67 3C 2F 4D 75 6C 74 69 70 6C 65 49 6E 73 74 61 6E 63 65 73 50 6F 6C 69 63 79 3E 0D 0A 20 20 20 20 3C 44 69 73 61 6C 6C 6F 77 53 74 61 72 74 49 66 4F 6E 42 61 74 74 65 72 69 65 73 3E 66 61 6C 73 65 3C 2F 44 69 73 61 6C 6C 6F 77 53 74 61 72 74 49 66 4F 6E 42 61 74 74 65 72 69 65 73 3E 0D 0A 20 20 20 20 3C 53 74 6F 70 49 66 47 6F 69 6E 67 4F 6E 42 61 74 74 65 72 69 65 73 3E 74 72 75 65 3C 2F 53 74 6F 70 49 66 47 6F 69 6E 67 4F 6E 42 61 74 74 65 72 69 65 73 3E 0D 0A 20 20 20 20 3C 41 6C 6C 6F 77 48 61 72 64 54 65 72 6D 69 6E 61 74 65 3E 66 61 6C 73 65 3C 2F 41 6C 6C 6F 77 48 61 72 64 54 65 72 6D 69 6E 61 74 65 3E 0D 0A 20 20 20 20 3C 53 74 61 72 74 57 68 65 6E 41 76 61 69 6C 61 62 6C 65 3E 74 72 75 65 3C 2F 53 74 61 72 74 57 68 65 6E 41 76 61 69 6C 61 62 6C 65 3E 0D 0A 20 20 20 20 3C 52 75 6E 4F 6E 6C 79 49 66 4E 65 74 77 6F 72 6B 41 76 61 69 6C 61 62 6C 65 3E 66 61 6C 73 65 3C 2F 52 75 6E 4F 6E 6C 79 49 66 4E 65 74 77 6F 72 6B 41 76 61 69 6C 61 62 6C 65 3E 0D 0A 20 20 20 20 3C 49 64 6C 65 53 65 74 74 69 6E 67 73 3E 0D 0A 20 20 20 20 20 20 3C 53 74 6F 70 4F 6E 49 64 6C 65 45 6E 64 3E 74 72 75 65 3C 2F 53 74 6F 70 4F 6E 49 64 6C 65 45 6E 64 3E 0D 0A 20 20 20 20 20 20 3C 52 65 73 74 61 72 74 4F 6E 49 64 6C 65 3E 66 61 6C 73 65 3C 2F 52 65 73 74 61 72 74 4F 6E 49 64 6C 65 3E 0D 0A 20 20 20 20 3C 2F 49 64 6C 65 53 65 74 74 69 6E 67 73 3E 0D 0A 20 20 20 20 3C 41 6C 6C 6F 77 53 74 61 72 74 4F 6E 44 65 6D 61 6E 64 3E 74 72 75 65 3C 2F 41 6C 6C 6F 77 53 74 61 72 74 4F 6E 44 65 6D 61 6E 64 3E 0D 0A 20 20 20 20 3C 45 6E 61 62 6C 65 64 3E 74 72 75 65 3C 2F 45 6E 61 62 6C 65 64 3E 0D 0A 20 20 20 20 3C 48 69 64 64 65 6E 3E 66 61 6C 73 65 3C 2F 48 69 64 64 65 6E 3E 0D 0A 20 20 20 20 3C 52 75 6E 4F 6E 6C 79 49 66 49 64 6C 65 3E 66 61 6C 73 65 3C 2F 52 75 6E 4F 6E 6C 79 49 66 49 64 6C 65 3E 0D 0A 20 20 20 20 3C 57 61 6B 65 54 6F 52 75 6E 3E 66 61 6C 73 65 3C 2F 57 61 6B 65 54 6F 52 75 6E 3E 0D 0A 20 20 20 20 3C 45 78 65 63 75 74 69 6F 6E 54 69 6D 65 4C 69 6D 69 74 3E 50 54 30 53 3C 2F 45 78 65 63 75 74 69 6F 6E 54 69 6D 65 4C 69 6D 69 74 3E 0D 0A 20 20 20 20 3C 50 72 69 6F 72 69 74 79 3E 37 3C 2F 50 72 69 6F 72 69 74 79 3E 0D 0A 20 20 3C 2F 53 65 74 74 69 6E 67 73 3E 0D 0A 20 20 3C 41 63 74 69 6F 6E 73 20 43 6F 6E 74 65 78 74 3D 22 41 75 74 68 6F 72 22 3E 0D 0A 20 20 20 20 3C 45 78 65 63 3E 0D 0A 20 20 20 20 20 20 3C 43 6F 6D 6D 61 6E 64 3E 5B 4C 4F 43 41 54 49 4F 4E 5D 3C 2F 43 6F 6D 6D 61 6E 64 3E 0D 0A 20 20 20 20 3C 2F 45 78 65 63 3E 0D 0A 20 20 3C 2F 41 63 74 69 6F 6E 73 3E 0D 0A 3C 2F 54 61 73 6B 3E }

  condition:
    $template
}

[[ currentRule.title && currentRule.title.length > 60 ? currentRule.title.slice(0, 60) + '…' : currentRule.title ]]

6e0b82a2-6910-4b15-b6f0-a74afabb970f

Propose edits, view related rules, and engage with the community through comments.

Executable code, not a declarative rule

This submission is arbitrary [[ currentRule.format ? currentRule.format.toUpperCase() : '' ]] code, not a declarative detection rule — review it as you would any script before running it, and note that it cannot be safely aggregated or auto-executed alongside YARA/Sigma/Suricata/CRS rules.

Rejected pattern present

[[ reason ]]

What does this mean?

Format & documentation suggestions

Not a security issue — this rule is valid and was accepted as-is. These are optional fields/conventions its own format recommends, mainly affecting its quality score and how well it documents itself for other reviewers.

[[ reason ]]

What do these messages mean?

[[ currentRule.title && currentRule.title.length > 60 ? currentRule.title.slice(0, 60) + '…' : currentRule.title ]]

[[ currentRule.title ]]

Community Discussion