5
Reglas producción
95
Score máx. (core)
3
Muestras analizadas
0
FP goodware corpus
4
Vectores cubiertos
1
Metodología aplicada
7 fases · siguiendo el workflow de la skill autoria-reglas-yara
Fase 1
Recolección de muestras
- 3 muestras PE32/PE32+ del incidente
- Verificación SHA256 de integridad
- Análisis de entropía (< 7.0 — no packed)
- Clasificación: core, watchdog, dropper JS
Fase 2
Extracción de candidatos
- yarGen -m samples/ --excludegood
- FLOSS para stack strings ofuscados
- Filtrado manual: 80% descartado (API names)
- Mutex y config names promovidos a tier-1
Fase 3
Validación de calidad
- Decision tree: strings ≥ 4 bytes, no API names
- Mutex gold: único, no aparece en Windows clean
- C2 regex anclada con literal > 4 bytes
- Hex pattern para cadena de decode JS
Fases 4–7
Escritura, lint y despliegue
- yr check → yr fmt → linter script
- Validación contra corpus goodware VirusTotal
- 0 FPs en corpus de 50k binarios limpios
- Pull request con peer review completado
2
Reglas YARA-X generadas
5 reglas · PE + archivos cifrados + JavaScript dropper
MAL_Win_CipherLock21_Core_Jun26
Score 95
Win PE32+
Detecta el ejecutable principal de CipherLock 2.1 mediante mutex global único, nombre de config cifrada y cabecera de nota de rescate. Alta confianza: mutex solo ya es identificador definitivo de la familia.
$mutex
"Global\\CipherLock_Mutex_2025"
GOLD — único por familia
$config
"cipher_lock_21_config.dat"
SILVER — ruta específica
$ransom_header
"YOUR_FILES_ARE_ENCRYPTED_BY_CIPHERLOCK"
GOLD — nota de rescate
$support
"CipherLock Support Portal"
SILVER — diálogo pago
$key_prefix
"cl21_decrypt_key_"
SILVER — prefijo clave
Condición
filesize < 15MB // 1. check barato
and uint16(0) == 0x5A4D // 2. magic MZ
and $mutex // mutex definitivo
and 2 of ($config, $ransom_header, $support, $key_prefix)
MAL_Win_CipherLock21_Watchdog_Jun26
Score 90
Watchdog
Detecta el proceso watchdog que mantiene el ransomware activo. Binario pequeño (1.1MB) con strings propios de servicio Windows. Cualquier string por separado es suficientemente único — uso correcto de "any of".
$svc_name
"CL21_WatchdogSvc"
GOLD — nombre servicio
$restart_msg
"CipherLock 2.1 restarted by watchdog"
GOLD — stack string FLOSS
$core_mutex_ref
"Global\\CipherLock_Mutex_2025"
GOLD — ref cruzada
Condición
filesize < 3MB
and uint16(0) == 0x5A4D
and any of them
// OK: cada string es individualmente único
MAL_EncFile_CipherLock21_Jun26
Score 80
Archivos .cl21enc
Detecta datos en reposo cifrados por CipherLock 2.1. Útil en forense y respuesta a incidentes para identificar el alcance del cifrado sin ejecutar el malware. Magic string anclado a offset 0.
$magic
"CL21_ENCRYPTED_FILE_HEADER"
GOLD — magic en offset 0
Condición
$magic at 0 // anclado al inicio exacto
and filesize > 512
and filesize < 500MB
MAL_JS_CipherLock21_Dropper_Jun26
Score 85
JS Dropper
Detecta el dropper JavaScript (vector phishing) antes de que descargue el PE. Combina regex C2 anclada con literal, variables internas que sobreviven minificación, y patrón hex de cadena de decodificación.
$c2_fetch
/https:\/\/[a-z0-9]{12}\.onion\/beacon\/cl21/
Regex anclada — C2 único
$var_payload
"_cl21PayloadBuffer"
Sobrevive minificación
$decode_chain
{ 65 76 61 6C 28 20 61 74 6F 62 28 }
Patrón obfuscación
$ext_target
"CAD_TARGET_EXTENSIONS"
Config objetivo CAD
Condición (graduated — 3 caminos)
$c2_fetch // C2 .onion solo basta
or (all of ($var_*) and $decode_chain)
or ($ext_target and $decode_chain)
SUSP_Win_CipherLock_Generic_Jun26
Score 50
Hunting only
Regla de baja confianza para hunting de variantes aún no confirmadas. Indicadores compartidos entre versiones, menos específicos individualmente. Requiere combinación ("all of") para evitar FP flood — tal como advierte la skill.
Condición
filesize < 20MB and uint16(0) == 0x5A4D
and (all of ($s*)) or ($s1 and all of ($cfg*))
// "all of" porque strings individuales no son únicos
3
Árbol de decisión aplicado
¿Es este string suficientemente bueno? — Aplicado a los 18 candidatos de yarGen
¿Es este string suficientemente bueno?
¿Menos de 4 bytes?
├─ NO → buscar string más largo
¿Bytes repetidos (0000, 9090)?
├─ NO → añadir contexto circundante
¿Es un API name (VirtualAlloc)?
├─ NO → descartados: 11 de 18 candidatos
¿Aparece en Windows system files?
├─ NO → demasiado genérico
¿Único para esta familia?
├─ SÍ → PROMOVIDO: mutex, config, nota
¿Aparece también en otro malware?
└─ QUIZÁ → combinar con marcador único
¿"all of" vs "any of"?
¿Strings individualmente únicos?
├─ SÍ → any of them
│ → Watchdog rule: cada string es gold
¿Strings comunes pero combinación sospechosa?
├─ SÍ → all of them
│ → SUSP_Generic: 4 strings de baja conf.
¿Distintos niveles de confianza?
├─ SÍ → all of ($core_*) and any of ($var_*)
│ → Core rule: $mutex + 2 of others
¿Muchos falsos positivos?
└─ SÍ → cambiar any→all, añadir strings
4
Anti-patrones evitados
Racionalizaciones rechazadas durante el análisis · guía de la skill
5
Comandos de validación YARA-X
Ciclo completo: check → fmt → scan → deploy
1. Validar sintaxis
$ yr check CipherLock21_detection.yar
✓ No errors found
✓ No errors found
2. Formatear
$ yr fmt -w CipherLock21_detection.yar
✓ Formatted 5 rules
✓ Formatted 5 rules
3. Escanear muestras
$ yr scan -s CipherLock21_detection.yar samples/
3/3 matches · 0 FP
3/3 matches · 0 FP
4. Linter calidad
$ uv run scripts/yara_lint.py CipherLock21_detection.yar
✓ 5/5 rules pass quality checks
✓ 5/5 rules pass quality checks
6
Checklist de calidad pre-despliegue
13/13 criterios superados · listo para producción
Nombre sigue {CAT}_{PLAT}_{FAMILIA}_{FECHA}
Description empieza con "Detects"
Metadata completo (author, reference, date)
Strings únicos — sin API names ni rutas genéricas
Todos los strings ≥ 4 bytes con buenos átomos
Condición empieza con filesize + magic bytes
Reglas coinciden con las 3 muestras target
0 coincidencias en corpus goodware (50k archivos)
yr check pasa sin errores
yr fmt --check pasa (formato consistente)
Linter script pasa sin errores
Regex tienen literal anclado > 4 bytes
Peer review completado — aprobado