70 lines
No EOL
22 KiB
Text
70 lines
No EOL
22 KiB
Text
rule hancitor_payload
|
|
{
|
|
meta:
|
|
author = "Jeff White - jwhite@paloalnetworks.com @noottrak"
|
|
date = "26AUG2016"
|
|
reference = "https://github.com/pan-unit42/public_tools/tree/master/hancitor"
|
|
|
|
|
|
strings:
|
|
$byte_code = { 5? 8? ?? 83 ?? ?? ?? ?? ?? ?? 75 ?? FF ?? ?? ?? ?? ?? A3 ?? ?? ?? ?? 83 ?? ?? ?? ?? ?? ?? 74 ?? 8? ?? ?? 5? 6A ?? 8? ?? ?? ?? ?? ?? 5? FF ?? ?? ?? ?? ?? EB ?? 33 ?? 5D C3 CC CC CC CC CC CC CC 5? 8? ?? 83 ?? ?? ?? ?? ?? ?? 74 ?? 8? ?? ?? 5? 6A ?? 8? ?? ?? ?? ?? ?? 5? FF ?? ?? ?? ?? ?? 5D C3 CC CC CC CC CC CC CC CC CC CC CC CC CC CC CC 5? 8? ?? 83 ?? ?? 8? ?? ?? 8? ?? ?? 8? ?? ?? 8? ?? ?? 8? ?? ?? 83 ?? ?? 8? ?? ?? 83 ?? ?? ?? 74 ?? 8? ?? ?? 8? ?? ?? 8? ?? 8? ?? ?? 83 ?? ?? 8? ?? ?? EB ?? 8? ?? ?? 8? ?? 5D C3 CC CC CC CC CC 5? 8? ?? 83 ?? ?? 8? ?? ?? 8? ?? ?? 8? ?? ?? 8? ?? ?? 8? ?? ?? 83 ?? ?? 8? ?? ?? 83 ?? ?? ?? 74 ?? 8? ?? ?? 8? ?? ?? 8? ?? 8? ?? 8? ?? ?? 83 ?? ?? 8? ?? ?? 8? ?? ?? 83 ?? ?? 8? ?? ?? EB ?? 8? ?? ?? 8? ?? 5D C3 CC CC CC CC CC CC CC CC CC CC 5? 8? ?? 83 ?? ?? ?? ?? ?? ?? 75 ?? C7 ?? ?? ?? ?? ?? ?? ?? ?? ?? B8 ?? ?? ?? ?? 85 ?? 74 ?? 8? ?? ?? ?? ?? ?? 0F BE ?? 83 ?? ?? 74 ?? A1 ?? ?? ?? ?? 0F BE ?? 85 ?? 75 ?? 8? ?? ?? C6 ?? ?? EB ?? 8? ?? ?? 8? ?? ?? ?? ?? ?? 8? ?? 8? ?? 8? ?? ?? 83 ?? ?? 8? ?? ?? 8? ?? ?? ?? ?? ?? 83 ?? ?? 8? ?? ?? ?? ?? ?? EB ?? 8? ?? ?? ?? ?? ?? 0F BE ?? 83 ?? ?? 75 ?? 8? ?? ?? ?? ?? ?? 83 ?? ?? 8? ?? ?? ?? ?? ?? 8? ?? ?? ?? ?? ?? 0F BE ?? 85 ?? 75 ?? C7 ?? ?? ?? ?? ?? ?? ?? ?? ?? 33 ?? EB ?? B8 ?? ?? ?? ?? 5D C3 CC CC CC CC CC CC CC CC CC 5? 8? ?? 83 ?? ?? ?? ?? ?? ?? 75 ?? 6A ?? 6A ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? FF ?? ?? ?? ?? ?? A3 ?? ?? ?? ?? A1 ?? ?? ?? ?? 5D C3 CC CC CC CC CC 5? 8? ?? 81 ?? ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 ?? 8? ?? ?? 6A ?? 6A ?? 8D ?? ?? ?? ?? ?? 5? E8 ?? ?? ?? ?? 83 ?? ?? C7 ?? ?? ?? ?? ?? ?? ?? ?? ?? 8D ?? ?? ?? ?? ?? 8? ?? ?? ?? ?? ?? C7 ?? ?? ?? ?? ?? ?? ?? ?? ?? 8D ?? ?? ?? ?? ?? 8? ?? ?? ?? ?? ?? C7 ?? ?? ?? ?? ?? ?? ?? ?? ?? 8D ?? ?? ?? ?? ?? 5? 6A ?? 6A ?? 8? ?? ?? 5? FF ?? ?? ?? ?? ?? 85 ?? 75 ?? 33 ?? E9 ?? ?? ?? ?? 83 ?? ?? ?? ?? ?? ?? 75 ?? C7 ?? ?? ?? ?? ?? ?? ?? ?? ?? 83 ?? ?? ?? ?? ?? ?? 74 ?? 83 ?? ?? ?? ?? ?? ?? 74 ?? 33 ?? E9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8? ?? ?? ?? ?? ?? 83 ?? ?? ?? ?? ?? ?? 75 ?? 33 ?? E9 ?? ?? ?? ?? 66 8B ?? ?? ?? ?? ?? 66 89 ?? ?? ?? ?? ?? C7 ?? ?? ?? ?? ?? ?? ?? ?? ?? 83 ?? ?? ?? ?? ?? ?? 75 ?? 8? ?? ?? ?? ?? ?? 0D ?? ?? ?? ?? 8? ?? ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? 0F B7 ?? ?? ?? ?? ?? 5? 8D ?? ?? ?? ?? ?? 5? 8? ?? ?? ?? ?? ?? 5? FF ?? ?? ?? ?? ?? 8? ?? ?? ?? ?? ?? 83 ?? ?? ?? ?? ?? ?? 75 ?? 33 ?? E9 ?? ?? ?? ?? 83 ?? ?? ?? 75 ?? C7 ?? ?? ?? ?? ?? ?? ?? ?? ?? EB ?? C7 ?? ?? ?? ?? ?? ?? ?? ?? ?? 6A ?? 8? ?? ?? ?? ?? ?? 5? 68 ?? ?? ?? ?? 6A ?? 6A ?? 8D ?? ?? ?? ?? ?? 5? 8? ?? ?? ?? ?? ?? 5? 8? ?? ?? ?? ?? ?? 5? FF ?? ?? ?? ?? ?? 8? ?? ?? ?? ?? ?? 83 ?? ?? ?? ?? ?? ?? 75 ?? 8? ?? ?? ?? ?? ?? 5? FF ?? ?? ?? ?? ?? 33 ?? E9 ?? ?? ?? ?? 83 ?? ?? ?? ?? ?? ?? 75 ?? C7 ?? ?? ?? ?? ?? ?? ?? ?? ?? 8D ?? ?? ?? ?? ?? 5? 8D ?? ?? ?? ?? ?? 5? 6A ?? 8? ?? ?? ?? ?? ?? 5? FF ?? ?? ?? ?? ?? 8? ?? ?? ?? ?? ?? 0D ?? ?? ?? ?? 8? ?? ?? ?? ?? ?? 6A ?? 8D ?? ?? ?? ?? ?? 5? 6A ?? 8? ?? ?? ?? ?? ?? 5? FF ?? ?? ?? ?? ?? C7 ?? ?? ?? ?? ?? ?? ?? ?? ?? 83 ?? ?? ?? 74 ?? 8? ?? ?? 5? FF ?? ?? ?? ?? ?? 8? ?? ?? ?? ?? ?? 8? ?? ?? ?? ?? ?? 5? 8? ?? ?? 5? 68 ?? ?? ?? ?? FF ?? ?? ?? ?? ?? 5? 68 ?? ?? ?? ?? 8? ?? ?? ?? ?? ?? 5? FF ?? ?? ?? ?? ?? C7 ?? ?? ?? ?? ?? ?? ?? ?? ?? C7 ?? ?? ?? ?? ?? ?? ?? ?? ?? 6A ?? 8D ?? ?? ?? ?? ?? 5? 8D ?? ?? ?? ?? ?? 5? 68 ?? ?? ?? ?? 8? ?? ?? ?? ?? ?? 5? FF ?? ?? ?? ?? ?? 81 ?? ?? ?? ?? ?? ?? ?? ?? ?? 75 ?? 83 ?? ?? ?? 74 ?? 8? ?? ?? 5? 8? ?? ?? 83 ?? ?? 5? 8? ?? ?? 5? 8? ?? ?? ?? ?? ?? 5? FF ?? ?? ?? ?? ?? 85 ?? 74 ?? 8? ?? ?? 83 ?? ?? 76 ?? 8? ?? ?? 8? ?? 8? ?? ?? C6 ?? ?? ?? EB ?? 8? ?? ?? C7 ?? ?? ?? ?? ?? 8? ?? ?? ?? ?? ?? 5? FF ?? ?? ?? ?? ?? 8? ?? ?? ?? ?? ?? 5? FF ?? ?? ?? ?? ?? 81 ?? ?? ?? ?? ?? ?? ?? ?? ?? 75 ?? B8 ?? ?? ?? ?? EB ?? 33 ?? 8? ?? ?? 33 ?? E8 ?? ?? ?? ?? 8? ?? 5D C3 CC CC CC CC CC CC CC CC CC CC CC CC CC 5? 8? ?? 8? ?? ?? 5? 8? ?? ?? 5? 8? ?? ?? 5? 8? ?? ?? 5? 8? ?? ?? 5? 6A ?? E8 ?? ?? ?? ?? 83 ?? ?? 5D C3 CC CC CC CC CC CC CC CC CC CC CC CC CC 5? 8? ?? 8? ?? ?? 5? 8? ?? ?? 5? 8? ?? ?? 5? 8? ?? ?? 5? 8? ?? ?? 5? 6A ?? E8 ?? ?? ?? ?? 83 ?? ?? 5D C3 CC CC CC CC CC CC CC CC CC CC CC CC CC 5? 8? ?? 81 ?? ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 ?? 8? ?? ?? 6A ?? 6A ?? 8D ?? ?? ?? ?? ?? 5? E8 ?? ?? ?? ?? 83 ?? ?? C7 ?? ?? ?? ?? ?? ?? ?? ?? ?? 8D ?? ?? ?? ?? ?? 8? ?? ?? ?? ?? ?? C7 ?? ?? ?? ?? ?? ?? ?? ?? ?? 8D ?? ?? ?? ?? ?? 8? ?? ?? ?? ?? ?? C7 ?? ?? ?? ?? ?? ?? ?? ?? ?? 8D ?? ?? ?? ?? ?? 5? 6A ?? 6A ?? 8? ?? ?? 5? FF ?? ?? ?? ?? ?? 85 ?? 75 ?? 33 ?? E9 ?? ?? ?? ?? 83 ?? ?? ?? ?? ?? ?? 75 ?? C7 ?? ?? ?? ?? ?? ?? ?? ?? ?? 83 ?? ?? ?? ?? ?? ?? 74 ?? 83 ?? ?? ?? ?? ?? ?? 74 ?? 33 ?? E9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8? ?? ?? ?? ?? ?? 83 ?? ?? ?? ?? ?? ?? 75 ?? 33 ?? E9 ?? ?? ?? ?? BA ?? ?? ?? ?? 66 89 ?? ?? ?? ?? ?? C7 ?? ?? ?? ?? ?? ?? ?? ?? ?? 83 ?? ?? ?? ?? ?? ?? 75 ?? B8 ?? ?? ?? ?? 66 89 ?? ?? ?? ?? ?? 8? ?? ?? ?? ?? ?? 81 ?? ?? ?? ?? ?? 8? ?? ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? 0F B7 ?? ?? ?? ?? ?? 5? 8D ?? ?? ?? ?? ?? 5? 8? ?? ?? ?? ?? ?? 5? FF ?? ?? ?? ?? ?? 8? ?? ?? ?? ?? ?? 83 ?? ?? ?? ?? ?? ?? 75 ?? 33 ?? E9 ?? ?? ?? ?? 6A ?? 8? ?? ?? ?? ?? ?? 5? 68 ?? ?? ?? ?? 6A ?? 6A ?? 8D ?? ?? ?? ?? ?? 5? 68 ?? ?? ?? ?? 8? ?? ?? ?? ?? ?? 5? FF ?? ?? ?? ?? ?? 8? ?? ?? ?? ?? ?? 83 ?? ?? ?? ?? ?? ?? 75 ?? 8? ?? ?? ?? ?? ?? 5? FF ?? ?? ?? ?? ?? 33 ?? E9 ?? ?? ?? ?? 83 ?? ?? ?? ?? ?? ?? 75 ?? C7 ?? ?? ?? ?? ?? ?? ?? ?? ?? 8D ?? ?? ?? ?? ?? 5? 8D ?? ?? ?? ?? ?? 5? 6A ?? 8? ?? ?? ?? ?? ?? 5? FF ?? ?? ?? ?? ?? 8? ?? ?? ?? ?? ?? 0D ?? ?? ?? ?? 8? ?? ?? ?? ?? ?? 6A ?? 8D ?? ?? ?? ?? ?? 5? 6A ?? 8? ?? ?? ?? ?? ?? 5? FF ?? ?? ?? ?? ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? FF ?? ?? ?? ?? ?? 5? 68 ?? ?? ?? ?? 8? ?? ?? ?? ?? ?? 5? FF ?? ?? ?? ?? ?? C7 ?? ?? ?? ?? ?? ?? ?? ?? ?? C7 ?? ?? ?? ?? ?? ?? ?? ?? ?? 6A ?? 8D ?? ?? ?? ?? ?? 5? 8D ?? ?? ?? ?? ?? 5? 68 ?? ?? ?? ?? 8? ?? ?? ?? ?? ?? 5? FF ?? ?? ?? ?? ?? 81 ?? ?? ?? ?? ?? ?? ?? ?? ?? 75 ?? 83 ?? ?? ?? 74 ?? 8? ?? ?? C7 ?? ?? ?? ?? ?? BA ?? ?? ?? ?? 85 ?? 74 ?? 8D ?? ?? ?? ?? ?? 5? 8? ?? ?? 5? 8? ?? ?? 5? 8? ?? ?? ?? ?? ?? 5? FF ?? ?? ?? ?? ?? 8? ?? ?? ?? ?? ?? 83 ?? ?? ?? ?? ?? ?? 75 ?? 83 ?? ?? ?? ?? ?? ?? 74 ?? 8? ?? ?? 03 ?? ?? ?? ?? ?? 8? ?? ?? 8? ?? ?? 2B ?? ?? ?? ?? ?? 8? ?? ?? 8? ?? ?? 8? ?? 03 ?? ?? ?? ?? ?? 8? ?? ?? 8? ?? EB ?? EB ?? EB ?? 8? ?? ?? ?? ?? ?? 5? FF ?? ?? ?? ?? ?? 8? ?? ?? ?? ?? ?? 5? FF ?? ?? ?? ?? ?? 81 ?? ?? ?? ?? ?? ?? ?? ?? ?? 75 ?? B8 ?? ?? ?? ?? EB ?? 33 ?? 8? ?? ?? 33 ?? E8 ?? ?? ?? ?? 8? ?? 5D C3 CC CC 5? 8? ?? 81 ?? ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 ?? 8? ?? ?? 68 ?? ?? ?? ?? 8D ?? ?? ?? ?? ?? 5? FF ?? ?? ?? ?? ?? 8? ?? ?? ?? ?? ?? 83 ?? ?? ?? ?? ?? ?? 74 ?? B9 ?? ?? ?? ?? 6B ?? ?? 8? ?? ?? ?? ?? ?? 81 ?? ?? ?? ?? ?? ?? ?? ?? ?? 73 ?? EB ?? E8 ?? ?? ?? ?? 8? ?? ?? ?? ?? ?? C6 ?? ?? ?? ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 6A ?? 8D ?? ?? ?? ?? ?? 5? 6A ?? 6A ?? 8D ?? ?? ?? ?? ?? 5? FF ?? ?? ?? ?? ?? 85 ?? 74 ?? 8? ?? ?? ?? ?? ?? EB ?? 33 ?? 8? ?? ?? 33 ?? E8 ?? ?? ?? ?? 8? ?? 5D C3 CC 5? 8? ?? 83 ?? ?? A1 ?? ?? ?? ?? 33 ?? 8? ?? ?? 0F 57 ?? 66 0F 13 ?? ?? C7 ?? ?? ?? ?? ?? ?? 8? ?? ?? 5? E8 ?? ?? ?? ?? 83 ?? ?? 8? ?? ?? 8? ?? ?? 8? ?? ?? 8D ?? ?? 5? 8? ?? ?? 5? 6A ?? 6A ?? 6A ?? FF ?? ?? ?? ?? ?? 8? ?? ?? 83 ?? ?? ?? 75 ?? 83 ?? ?? ?? 74 ?? 6A ?? 6A ?? 8D ?? ?? 5? E8 ?? ?? ?? ?? 83 ?? ?? 8? ?? ?? 8? ?? ?? 5? 8? ?? ?? 83 ?? ?? 5? 8D ?? ?? 5? E8 ?? ?? ?? ?? 83 ?? ?? 8? ?? ?? 33 ?? ?? 8? ?? ?? 33 ?? ?? 8? ?? ?? 8? ?? ?? 8? ?? ?? 8? ?? ?? 8? ?? ?? EB ?? 8? ?? ?? 5? E8 ?? ?? ?? ?? 83 ?? ?? E8 ?? ?? ?? ?? 33 ?? 8? ?? ?? 8? ?? ?? 8? ?? ?? 8? ?? ?? B1 ?? E8 ?? ?? ?? ?? 33 ?? ?? 33 ?? ?? 8? ?? ?? 33 ?? E8 ?? ?? ?? ?? 8? ?? 5D C3 CC CC CC CC CC CC CC CC 5? 8? ?? A1 ?? ?? ?? ?? 0B ?? ?? ?? ?? ?? 75 ?? E8 ?? ?? ?? ?? A3 ?? ?? ?? ?? 8? ?? ?? ?? ?? ?? A1 ?? ?? ?? ?? 8? ?? ?? ?? ?? ?? 5D C3 CC CC CC 5? 8? ?? 83 ?? ?? A1 ?? ?? ?? ?? 33 ?? 8? ?? ?? B8 ?? ?? ?? ?? 6B ?? ?? 0F BE ?? ?? ?? ?? ?? 85 ?? 74 ?? 68 ?? ?? ?? ?? 8? ?? ?? 5? FF ?? ?? ?? ?? ?? B8 ?? ?? ?? ?? EB ?? 8D ?? ?? 5? 6A ?? 68 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 ?? ?? 83 ?? ?? 75 ?? 68 ?? ?? ?? ?? 8? ?? ?? 5? FF ?? ?? ?? ?? ?? B8 ?? ?? ?? ?? EB ?? 68 ?? ?? ?? ?? 8? ?? ?? 5? FF ?? ?? ?? ?? ?? 33 ?? 8? ?? ?? 33 ?? E8 ?? ?? ?? ?? 8? ?? 5D C3 CC CC CC 5? 8? ?? 81 ?? ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 ?? 8? ?? ?? C7 ?? ?? ?? ?? ?? ?? ?? ?? ?? C7 ?? ?? ?? ?? ?? ?? ?? ?? ?? 8D ?? ?? ?? ?? ?? 5? 8? ?? ?? ?? ?? ?? 5? 8D ?? ?? ?? ?? ?? 5? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 ?? ?? 83 ?? ?? 75 ?? B8 ?? ?? ?? ?? 6B ?? ?? 0F BE ?? ?? ?? ?? ?? ?? 83 ?? ?? 75 ?? B8 ?? ?? ?? ?? C1 ?? ?? 0F BE ?? ?? ?? ?? ?? ?? 83 ?? ?? 75 ?? BA ?? ?? ?? ?? D1 ?? 0F BE ?? ?? ?? ?? ?? ?? 83 ?? ?? 75 ?? B9 ?? ?? ?? ?? 6B ?? ?? 0F BE ?? ?? ?? ?? ?? ?? 83 ?? ?? 75 ?? C7 ?? ?? ?? ?? ?? ?? ?? ?? ?? 8? ?? ?? ?? ?? ?? 8? ?? ?? 33 ?? E8 ?? ?? ?? ?? 8? ?? 5D C3 CC 5? 8? ?? B8 ?? ?? ?? ?? 6B ?? ?? 8? ?? ?? 0F BE ?? ?? 83 ?? ?? 75 ?? B9 ?? ?? ?? ?? D1 ?? 8? ?? ?? 0F BE ?? ?? 83 ?? ?? 75 ?? B9 ?? ?? ?? ?? C1 ?? ?? 8? ?? ?? 0F BE ?? ?? 83 ?? ?? 74 ?? B9 ?? ?? ?? ?? C1 ?? ?? 8? ?? ?? 0F BE ?? ?? 83 ?? ?? 74 ?? B9 ?? ?? ?? ?? C1 ?? ?? 8? ?? ?? 0F BE ?? ?? 83 ?? ?? 74 ?? B9 ?? ?? ?? ?? C1 ?? ?? 8? ?? ?? 0F BE ?? ?? 83 ?? ?? 74 ?? B9 ?? ?? ?? ?? C1 ?? ?? 8? ?? ?? 0F BE ?? ?? 83 ?? ?? 75 ?? B8 ?? ?? ?? ?? EB ?? 33 ?? 5D C3 CC CC CC CC CC CC CC 5? 8? ?? B8 ?? ?? ?? ?? C1 ?? ?? 8? ?? ?? 0F BE ?? ?? 83 ?? ?? 75 ?? B8 ?? ?? ?? ?? 6B ?? ?? 8? ?? ?? 0F BE ?? ?? 83 ?? ?? 74 ?? B9 ?? ?? ?? ?? 6B ?? ?? 8? ?? ?? 0F BE ?? ?? 83 ?? ?? 74 ?? BA ?? ?? ?? ?? 6B ?? ?? 8? ?? ?? 0F BE ?? ?? 83 ?? ?? 74 ?? B8 ?? ?? ?? ?? 6B ?? ?? 8? ?? ?? 0F BE ?? ?? 83 ?? ?? 74 ?? B9 ?? ?? ?? ?? 6B ?? ?? 8? ?? ?? 0F BE ?? ?? 83 ?? ?? 75 ?? B8 ?? ?? ?? ?? EB ?? 33 ?? 5D C3 CC CC CC CC CC CC CC CC CC CC 5? 8? ?? 81 ?? ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 ?? 8? ?? ?? FF ?? ?? ?? ?? ?? 8? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 8? ?? ?? ?? ?? ?? 8? ?? ?? ?? ?? ?? 8D ?? ?? ?? ?? ?? 5? E8 ?? ?? ?? ?? 83 ?? ?? 8D ?? ?? 5? E8 ?? ?? ?? ?? 83 ?? ?? 8? ?? ?? ?? ?? ?? 81 ?? ?? ?? ?? ?? 0F B7 ?? 25 ?? ?? ?? ?? 0F B6 ?? 8? ?? ?? ?? ?? ?? 8? ?? ?? ?? ?? ?? 81 ?? ?? ?? ?? ?? 0F B7 ?? C1 ?? ?? 25 ?? ?? ?? ?? 0F B6 ?? 8? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 8? ?? ?? ?? ?? ?? 83 ?? ?? ?? ?? ?? ?? 75 ?? C7 ?? ?? ?? ?? ?? ?? ?? ?? ?? EB ?? C7 ?? ?? ?? ?? ?? ?? ?? ?? ?? 8? ?? ?? ?? ?? ?? 5? 8? ?? ?? ?? ?? ?? 5? 8? ?? ?? ?? ?? ?? 5? 8D ?? ?? 5? 8D ?? ?? ?? ?? ?? 5? 68 ?? ?? ?? ?? 8? ?? ?? ?? ?? ?? 5? 8? ?? ?? ?? ?? ?? 5? 68 ?? ?? ?? ?? 8D ?? ?? ?? ?? ?? 5? FF ?? ?? ?? ?? ?? 83 ?? ?? 83 ?? ?? ?? ?? ?? ?? 75 ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 ?? ?? A3 ?? ?? ?? ?? B9 ?? ?? ?? ?? 6B ?? ?? A1 ?? ?? ?? ?? C6 ?? ?? ?? C7 ?? ?? ?? ?? ?? ?? ?? ?? ?? 83 ?? ?? ?? ?? ?? ?? 0F 85 ?? ?? ?? ?? B9 ?? ?? ?? ?? 6B ?? ?? A1 ?? ?? ?? ?? 0F BE ?? ?? 85 ?? 75 ?? 8? ?? ?? ?? ?? ?? 5? (E8|FF) }
|
|
|
|
condition:
|
|
uint16be(0) == 0x4D5A and $byte_code
|
|
}
|
|
|
|
/*
|
|
|
|
SAMPLES:
|
|
|
|
0002218f5c47ef709e390288e4268a02bb9d9087a996bb55d3a9c23d68a46760_S1.exe
|
|
006495c7fb7388f0513a24d9d09bf9517d5a3fd05c0da7d39311f6e6cf0f8fe3_S1.exe
|
|
000f7832251ae4ba41c42c46d83cbf13d0b2aed0c1f949fbe68b728fdcb2fada_S1.exe
|
|
000fa485eda66fd4b5acd3fee4e2cdf5bd8e82a4968d27c202fe4747dfb57d00_S1.exe
|
|
001451cfe7d492163ebcdaa2a3da9eb849ab0bd509cd969dd75965c88c19d5d4_S1.exe
|
|
001627a8adaf2ea97b19dd4f6b915abf57bd41b4fe7af33d5f9f381a97d04a3d_S1.exe
|
|
001856ba5da54bdf6cb87c61254af2ca9f936e83402e43579177bd0f4ac1f120_S1.exe
|
|
0022f6c5ec68cabb34eee693cb23cb72a1099719b93f552cb9a09a99a0086afc_S1.exe
|
|
002763b63f07529dd29c7840fed0e1bc68c974364b3aa64f7b6b225ca191f87f_S1.exe
|
|
002ccf946b928eb123790aa8a6a4e1574827f6d387c661003df6e095d1d9137b_S1.exe
|
|
002d93a56d6da0d4cd39c1d1bb36ebfb8bb493b0a204882120fc305c1b840caa_S1.exe
|
|
0031be555860fee238837c1004d2f0ec353487ce6f9d0715106bb5670d965862_S1.exe
|
|
0033f126d294bdda76e68d8dc994189a5d82e728e9e2cbe273789107bd855e06_S1.exe
|
|
0039b33d9b86b02a4df6a605018a9749693ea3d871b187d9d1e1e0ec58e63f26_S1.exe
|
|
003e0e981f9ec2f4ff844161dc2aca600df38965b9dd586532ede80f6367e90b_S1.exe
|
|
0042539fb052745f1568b089bf86e41d393b981cdfc7201f7d8bdde145714fe2_S1.exe
|
|
0043d7cf12ad497de3cc4739a435f1765ec4c65e05e1f21faecfe40cc9d4fc35_S1.exe
|
|
004fa50455bac533cfa150660a6148ed20eb19a1169aa48991367eabb7494f1e_S1.exe
|
|
00509f0c3436a02e09a49226169d28979d0b4eb42375cf2dbb1733cc67333b73_S1.exe
|
|
0056fc1baedc78d43638f509d4a2ff617567cdffe4e0aa6a9892d80b076b2e4d_S1.exe
|
|
0058b39843b0c37520a28a4d239de2e934a811159fe6a310e63b9fcf85ac2cf7_S1.exe
|
|
005b3491673d414c65c0b2c8c351b672dd41a1679c97ffd7e4e0a6b1d00580a9_S1.exe
|
|
005dee83851ee0db47b705b4ac6857bc4649e59c47418208d62ce3cc0c1f9a02_S1.exe
|
|
006446a6303d85b5427139c6bc08c0f12e361d49cd7fa1ccc3e431d2fdd56d8c_S1.exe
|
|
0065a97402349fbbe5195effd6329ed89eb276ac3f728c7f8827d913d1296037_S1.exe
|
|
006cc18d23ba7ec78ce5d3e78cde63157abd05b1e1908c93c35f99933637a6e7_S1.exe
|
|
006cc87046164b41330918db95150f16227aa235865c4c95283b2d5fb9bd0d18_S1.exe
|
|
008d53efab6e0be2f356ce86581414db9804d46170eea4b408b6f23690a35487_S1.exe
|
|
009794dbe2aefed8ebd0d433c4b5c8931f6b3c1eaf0fbb34ad3fb247ae8dd0b5_S1.exe
|
|
009b714c0a6731f2eadd04dab409172d34986526a298b7a1fe4f51152bf6773e_S1.exe
|
|
00a1fb0d0a45ec998f65a458e55790e49944bb36b9398d7be495aa7ac7f27ac4_S1.exe
|
|
00a24e6e5da9bea88f695e7b15621f418f683ce0b185ee67ba66e91bfe360e53_S1.exe
|
|
00a90d131960bbad21a4f787f328d69b3af514f6e800cea606deb97aa0393e29_S1.exe
|
|
00aae024d89ebdee5464f410fe588f31a1888f84eb68ee6dddb1ddf9b86012aa_S1.exe
|
|
00ae14dc7815f74b083abc290d561d59fa8bc9717c22423fdec109bedc0de170_S1.exe
|
|
00b088c257b7aab93e262445085337261a8b6d4369e9e48c6fe840c56971d8c2_S1.exe
|
|
00b3c741c366252a8472046960b35636cf6c651a73d94d2810d14446dfae6db1_S1.exe
|
|
00b46ed617c1d651dadd8b4abad8b644f30e49e0d12bc378dfb720f9b55b6277_S1.exe
|
|
00b4f5d82ff5636d87821e2eb367c63bf83f478d4d4c480a3d9bc920bcd23f4a_S1.exe
|
|
00b515429f4b16a501d7c97999eb884210dcf5b413b3896e11c03a926b31289f_S1.exe
|
|
00bdb09cd6dfc308cc101aa009240ba612df781c62efb705f7b2ba9c198494d9_S1.exe
|
|
00c4a1abded604c193671ac83935cf5e84bf272b5b574c26dfc814821d38155e_S1.exe
|
|
00c7f1f0183fdb23eba1c5bfbe94518bbe22093bd8ae648c8c242229ca65c46a_S1.exe
|
|
00c9f1276737f9ab4eb49c6c3a8c955cae7085fb7744ab0f0b90cc6b83eea377_S1.exe
|
|
00d552f43b11e0017ff34576e2fbe5d47db4c5141ed0cc7cad1a6367a5161839_S1.exe
|
|
|
|
BYTES:
|
|
|
|
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
|
|
|
|
*/ |