rule sogu {
    meta:
        block = false
        quarantine = false

    strings:
        // 08E9FC6B4687C3F7FCFB86EAC870158F @ 0x4067F6
        $mov_call_sequence = { A1 ?? ?? ?? ?? FF D0 A1 ?? ?? ?? ?? FF D0 A1 ?? ?? ?? ?? FF D0 A1 ?? ?? ?? ?? FF D0 A1 ?? ?? ?? ?? FF D0 A1 ?? ?? ?? ?? FF D0 A1 ?? ?? ?? ?? FF D0 A1 ?? ?? ?? ?? FF D0 A1 ?? ?? ?? ?? FF D0 A1 ?? ?? ?? ?? FF D0 A1 ?? ?? ?? ?? FF D0 A1 ?? ?? ?? ?? FF D0 }
    
    condition:
        $mov_call_sequence
}