MARS_Sbox__32_big_2048_

YARA detection rule by HydraDragonAntivirus · GPL-2.0

Rule MARS_Sbox__32_big_2048_ (No description metadata provided).

rule MARS_Sbox__32_big_2048_ {
  strings:
    $a0 = { 09 d0 c4 79 28 c8 ff e0 84 aa 6c 39 9d ad 72 87 7d ff 9b e3 d4 26 83 61 c9 6d a1 d4 79 74 cc 93 85 d0 58 2e 2a 4b 57 05 1c a1 6a 62 c3 bd 27 9d 0f 1f 25 e5 51 60 37 2f c6 95 c1 fb 4d 7f f1 e4 ae 5f 6b f4 0d 72 ee 46 ff 23 de 8a b1 cf 8e 83 f1 49 02 e2 3e 98 1e 42 8b f5 3e b6 7f 4b f8 ac 83 63 1f 83 25 97 02 05 76 af e7 84 3a 79 31 d4 4f 84 64 50 5c 64 c3 f6 21 0a 5f 18 c6 98 6a 26 28 f4 e8 26 3a 60 a8 1c d3 40 a6 64 7e a8 20 c4 52 66 87 c5 7e dd d1 2b 32 a1 1d 1d 9c 9e f0 86 80 f6 e8 31 ab 6f 04 ad 56 fb 9b 53 8b 2e 09 5c b6 85 56 ae d2 25 0b 0d 29 4a 77 21 e2 1f b2 53 ae 13 67 49 e8 2a ae 86 93 36 51 04 99 40 4a 66 78 a7 84 dc b6 9b a8 4b 04 04 67 93 23 db 5c 1e 46 ca e1 d6 2f e2 81 34 5a 22 39 42 18 63 cd 5b c1 90 c6 e3 07 df b8 46 6e b8 88 16 2d 0d cc 4a a4 cc ae 59 37 98 67 0d cb fa 94 93 4f 48 1d 45 ea fc 8c a8 db 11 29 d6 b0 44 9e 20 0f 54 07 fb 61 67 d9 a8 d1 f4 57 63 4d aa 96 c3 3b ec 59 58 ab ab a0 14 b6 cc d2 01 38 d6 27 9f 02 68 22 15 8f 37 6c d5 09 2c 23 7e bf c5 65 93 32 88 9d 2c 85 4b 3e 95 05 bb 9b 43 7d cd 5d cd a0 2e 92 6c fa e5 27 e5 36 a1 c3 30 34 12 e1 ae f2 57 f4 62 3c 4f 1d 71 30 a2 e8 09 68 e5 f5 51 9c 61 ba 44 5d ed 0a b8 75 ce 09 c8 96 54 f9 3e 69 8c 0c ca 24 3c b3 e4 2b 06 2b 97 0f 3b 8d 9e 00 e0 50 df fc 5d 61 66 e3 5f 92 88 c0 79 55 0d 05 91 ae e8 8e 53 1e 74 75 fe 35 78 2f 6d 82 9a f6 0b 21 ae 95 e8 eb 8d 66 99 48 6b 90 1d 7d 9b fd 6d 6e 31 10 90 ac ef e0 67 0d d8 da b2 e6 92 cd 6d 43 65 e5 39 35 14 3a f3 45 f0 62 41 fc 4d 46 0d a3 a3 7b cf 37 29 8b f1 d1 e0 14 aa c0 70 15 87 ed 55 3a fd 7d 3e d2 f2 9e 01 29 a9 d1 f6 ef b1 0c 53 cf 3b 87 0f b4 14 93 5c 66 44 65 ed 02 4a ca c7 59 a7 44 c1 1d 29 36 a7 dc 58 0a a6 cf 57 4c a8 04 0a 7a 10 6c d8 18 07 8a 98 be 4c ac ce a0 63 c3 3e 92 b5 d1 e0 e0 3d b3 22 51 7e 20 92 bd 13 38 6b 2c 4a 52 e8 dd 58 58 65 6d fb 50 82 03 71 41 81 18 96 e3 37 ef 7e d3 9f b1 19 c9 7f 0d f6 68 fe a0 1b a1 50 a6 e5 55 25 89 62 eb 6f f4 1b d7 c9 cd 7a a6 19 cd 9e bc f0 95 76 26 72 c0 73 f0 03 fb 3c 4a b7 a5 0b 14 84 12 6a 48 7b a9 b1 a6 4f c9 c6 f6 95 7d 49 38 b0 6a 75 dd 80 5f cd 63 d0 94 cf f5 1c 99 9e 1a a4 d3 43 b8 49 52 94 ce 9f 8e 99 bf fc d7 70 c7 c2 75 cc 37 84 53 a7 7b 21 be 33 39 7f 41 bd 4e 94 d1 31 92 cc 1f 98 59 15 ea 51 99 f8 61 b7 c9 98 0a 88 1d 74 fd 5f b0 a4 95 f8 61 4d ee d0 b5 77 8e ea 59 41 79 2d fa 90 c1 f8 33 f8 24 b4 c4 96 53 72 3f f6 d5 50 4c a5 fe c0 86 30 e9 64 5b 3f bb d6 7d a2 6a 48 b2 03 23 1a 04 29 75 14 2d 63 93 06 2e b1 31 49 16 a4 52 72 53 24 59 a0 8e 5f 48 72 f9 66 c7 d9 07 12 8d c0 0d 44 db 62 af c8 d5 2d 06 31 61 31 d8 38 e7 ce 1b c4 1d 00 3a 2e 8c 0f ea 83 83 7e b9 84 73 7d 13 ba 48 91 c4 f8 b9 49 a6 d6 ac b3 a2 15 cd ce 83 59 83 8b 6b d1 aa 31 f5 79 dd 52 21 b9 3f 93 f5 17 67 81 18 7d fd de e9 4a eb 76 2b 38 fd 54 43 1d e1 da ab 39 48 25 9a d3 04 8f df ea 32 aa 65 94 73 e3 62 3f 78 63 f3 34 6c 59 ab 3a b6 85 33 46 a9 0b 6b 56 44 3e c6 de 01 f8 8d 42 1f c0 9b 0e d1 0c 88 f1 a1 e9 54 c1 f0 29 7d ea d5 7b 8d 7b a4 26 4c f5 17 8a 55 1a 7c ca 1a 9a 5f 08 fc d6 51 b9 25 60 51 82 e1 1f c6 c3 b6 fd 96 76 33 7b 30 27 b7 c8 eb 14 9e 5f d0 30 6b 57 e3 54 ad 91 3c f7 7e 16 68 8d 58 87 2a 69 2c 2f c7 df e3 89 cc c6 30 73 8d f1 08 24 a7 34 e1 79 7a 8b a4 a8 d5 7b 5b 5d 19 3b c8 a8 30 9b 73 f9 a9 78 73 39 8d 32 0f 59 57 3e e9 df 2b 03 e8 a5 b6 c8 84 8d 07 04 98 df 93 c2 72 0a 1d c3 68 4f 25 9a 94 3b a8 48 a6 37 01 52 86 3b 5e a3 d1 7b 97 8b 6d 9b 58 ef 0a 70 0d d4 a7 3d 36 bf 8e 6a 08 29 86 95 bc 14 e3 5b 34 47 93 3a c5 68 88 94 b0 22 2f 51 1c 27 dd fb cc 3c 00 66 62 b6 11 7c 83 fe 4e 12 b4 14 c2 bc a7 66 3a 2f ec 10 f4 56 24 20 55 79 2e 2a 46 f5 d8 57 ce da 25 ce c3 60 1d 3b 6c 00 ab 46 ef ac 9c 28 b3 c3 50 47 61 1d fe e3 25 7c 32 07 fd d5 84 82 3b 14 d8 4f 23 be cb 64 a0 75 f3 a3 08 8f 8e ad 07 ad f1 58 77 96 94 3c fa ca bf 3d c0 97 30 cd f7 67 99 69 da 44 e9 ed 2c 85 4c 12 35 93 5f a3 2f 05 7d 9f 69 06 24 f8 1c b0 ba fd 7b 0d bd c6 81 0f 23 bb fa 92 9a 1a 6d 96 9a 17 67 42 97 9b 74 ac 7d 05 01 0e 65 c4 86 a3 d9 63 f9 07 b5 a0 d0 04 2b d3 15 8d 7d 03 28 7a 82 55 bb a8 36 6f 09 6e dc 33 21 91 6a 7b 77 b5 6b 86 95 16 22 f9 a6 c5 e6 50 8c ea 17 d1 cd 8c 62 bc a3 d6 34 33 35 8a 68 fd 0f 9b 9d 3c d6 aa 29 5b fe 33 38 4a c0 00 73 8e cd 67 eb 2f e2 eb 6d c2 97 33 8b 02 06 c9 f2 46 41 9c f1 ad 2b 83 c0 45 37 23 f1 8a cb 5b 30 89 16 0b ea d7 5d 49 46 56 35 f8 a7 4b 1e 4e 6c 9e 00 03 99 bd 67 46 68 80 b4 17 48 31 ac f4 23 b2 ca 81 5a b3 5a 63 95 e7 30 2a 67 c5 8b db 44 6b 10 8f 8f a4 10 22 3e da 92 b8 b4 8b 7f 38 d0 ee ab 27 01 d4 02 62 d4 15 af 22 4a 30 b3 d8 8a ba f8 b2 c3 af da f7 ef 70 cc 97 d3 b7 e9 61 4b 6c 2b ae bf f4 70 f6 87 cf 38 6c 91 56 ce 09 2e e5 01 e8 7d a6 6c e9 1e 6a bb 7b cc 84 c7 92 2c 20 9d 3b 71 fd 06 0e 41 c6 d7 59 0f 15 4e 03 bb 47 18 3c 19 8e 63 ee b2 40 2d db f4 9a 6d 5c ba 54 92 37 50 af f9 e1 42 36 78 38 16 2b 59 72 6c 72 81 b6 67 60 bb 29 26 c1 48 a0 ce 0d a6 c0 49 6d ad 43 50 7b 71 8d 49 6a 9d f0 57 af 44 b1 bd e6 05 43 56 dc de 7c ed 35 d5 1a 13 8b 62 08 8c c9 35 83 03 11 c9 6e fc a2 68 6f 86 ec 8e 77 cb 68 63 e1 d6 b8 c8 0f 97 78 79 c4 91 fd 1b 4c 67 f2 72 69 8d 7d 5e 36 8c 31 f7 d9 5e 2e a1 d3 49 3f dc d9 43 3e 89 6f 15 52 4b c4 ca 7a a6 d1 ba f4 a5 a9 6d cc 0b ef 8b 46 a1 69 fd a7 74 df 40 b7 4e 20 88 04 9a 75 66 07 03 8e 87 c8 20 21 1e 44 8b 7a d4 bf c6 40 3f 35 18 48 e3 6d 80 bd b0 38 1e 62 89 1c 64 3d 21 07 bf 04 d6 f8 21 09 2c 8c f6 44 f3 89 07 78 40 4e 7b 78 ad b8 a2 c5 2d 53 42 15 7a be a2 25 3e 2e 7b f3 f4 ae 80 f5 94 f9 95 31 94 e7 77 eb 92 ed b3 81 69 30 da 8d 93 36 bf 44 74 69 f2 6d 94 83 ee 6f ae d5 71 37 12 35 de 42 5f 73 b4 e5 9f 43 7d be 2d 4e 2d 37 b1 85 49 dc 9a 63 98 c3 9d 98 13 01 c9 a2 38 9b 1b bf 0c 18 58 8d a4 21 c1 ba 7a a3 86 5c 71 e0 85 58 3c 5c fc aa 7d 23 9c a4 02 97 d9 dd d7 dc 28 30 4b 37 80 2b 74 28 ab 54 ae ee 03 47 4b 3f bb 85 69 2f 2f 08 13 4e 57 8e 36 d9 e0 bf ae 8b 5f cf ed b9 3e cf 2b 27 24 8e 17 0e b1 ef 7d c5 7f d6 1e 76 0f 16 b1 13 66 01 86 4e 1b 9b d7 ea 73 19 3a b8 71 bd cf a4 d7 6f e3 1b d7 82 0d be b4 69 ab b9 60 61 53 70 f8 5d ff b0 7e 37 da 30 d0 fb eb c9 77 b6 0b 98 b4 0f 3a 4d 0f e6 df 4f c2 6b 15 9c f2 2a c2 98 d6 e2 2b 78 ef 6a 61 a9 4a c0 ab 56 11 87 14 ee a0 f0 df 0d 41 64 19 af 70 ee }

  condition:
    $a0
}

[[ currentRule.title && currentRule.title.length > 60 ? currentRule.title.slice(0, 60) + '…' : currentRule.title ]]

9d61112c-a743-4d31-aaf0-723ce9269d4f

Propose edits, view related rules, and engage with the community through comments.

Executable code, not a declarative rule

This submission is arbitrary [[ currentRule.format ? currentRule.format.toUpperCase() : '' ]] code, not a declarative detection rule — review it as you would any script before running it, and note that it cannot be safely aggregated or auto-executed alongside YARA/Sigma/Suricata/CRS rules.

Rejected pattern present

[[ reason ]]

What does this mean?

Format & documentation suggestions

Not a security issue — this rule is valid and was accepted as-is. These are optional fields/conventions its own format recommends, mainly affecting its quality score and how well it documents itself for other reviewers.

[[ reason ]]

What do these messages mean?

[[ currentRule.title && currentRule.title.length > 60 ? currentRule.title.slice(0, 60) + '…' : currentRule.title ]]

[[ currentRule.title ]]

Community Discussion