mace 0.1.4

Automated extration of malware configuration, focusing on C2 communication
Documentation 
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63

pub static RULE_SEED: &str = r#"
rule seed {
    meta:
        author = "Frondorf, Niklas"

    strings:
        $seed = {
            (
                68 ?? ?? ?? ??        // push       value
                89 85 ?? ?? ?? ??     // mov        dword ptr [ebp + localc], eax
                8d 85 ?? ?? ?? ??     // lea        eax => local, [ebp + offset]
                68 ?? ?? ?? ??        // push       seed
                |
                8d 85 ?? ?? ?? ??     // lea        eax => local, [ebp + offset]
                68 ?? ?? ?? ??        // push       value
                68 ?? ?? ?? ??        // push       seed
                |
                8d 85 ?? ?? ?? ??     // lea        eax => local, [ebp + offset]
                89 85 ?? ?? ?? ??     // mov        dword ptr [ebp + localc], eax
                68 ?? ?? ?? ??        // push       value
                68 ?? ?? ?? ??        // push       seed
                |
                8d 96 ?? ?? ?? ??     // lea        edx => local, [esi + value]
                c7 86 [8]             // mov        dword ptr [esi + local], value
                68 ?? ?? ?? ??        // push       value
                68 ?? ?? ?? ??        // push       seed
                |
                c7 86 [8]             // mov        dword ptr [esi + local], value
                68 ?? ?? ?? ??        // push       value
                68 ?? ?? ?? ??        // push       seed
                |
                c7 86 [8]             // mov        dword ptr [esi + local], value
                68 ?? ?? ?? ??        // push       value
                68 ?? ?? ?? ??        // push       seed
                8d 86 ?? ?? ?? ??     // lea        eax => local, [esi + value]
            )

            (
                50                    // push       eax
                |
                52                    // push       edx
            )

            (
                89 bd ?? ?? ?? ??     // mov        dword ptr [ebp + local], edi
                c7 45 fc 00 00 00 00  // mov        dword ptr [ebp + local], 0x0
                e8 ?? ?? ?? ??        // call       dga
                |
                89 b5 ?? ?? ?? ??     // mov        dword ptr [ebp + local], esi
                89 bd ?? ?? ?? ??     // mov        dword ptr [ebp + local], edi
                c7 45 fc 00 00 00 00  // mov        dword ptr [ebp + local], 0x0
                e8 ?? ?? ?? ??        // call       dga
                |
                c5 f8 77              // vzeroupper
                e8 ?? ?? ?? ??        // call       dga
                |
                e8 ?? ?? ?? ??        // call       dga
            )
        }

    condition:
        all of them
}"#;