O. P. Lossers - RankMe

Year	Rank	Type	Title / Venue / Authors
2009	J	`jnl`	A Gamma Limit: 11338 [2008, 71]. Am. Math. Mon. Ovidiu Furdui, O. P. Lossers
2009	J	`jnl`	Multiples of 6 Whose Successors Have Greater Divisor Sum: 11335 [2008, 71]. Am. Math. Mon. Juan López González, O. P. Lossers
2009	J	`jnl`	On the Sum of Integer Powers of a Matrix: 11323 [2007, 835]. Am. Math. Mon. Jody M. Lockhart, William P. Wardlaw, O. P. Lossers
2009	J	`jnl`	Solving a Recurrence by Binary Expansion: 11320 [2007, 835]. Am. Math. Mon. Donald E. Knuth, O. P. Lossers
2008	J	`jnl`	A Group In Which Equations Are Solvable: 11231. Am. Math. Mon. Christopher J. Hillar, O. P. Lossers
2008	J	`jnl`	A Sinh a Series: 11286. Am. Math. Mon. M. L. Glasser, O. P. Lossers
2008	J	`jnl`	A Symmetric Inequality: 11255. Am. Math. Mon. Slavko Simic, O. P. Lossers
2008	J	`jnl`	Double Integral: 11295. Am. Math. Mon. Stefano Siboni, O. P. Lossers
2008	J	`jnl`	Fibonacci Numbers and Tilling a Board with Cuts: 11241. Am. Math. Mon. Roberto Tauraso, O. P. Lossers
2008	J	`jnl`	Generalizing (1 - 1)ⁿ = 0: 11230. Am. Math. Mon. Gregory Keselman, Aleksandar Ilic, O. P. Lossers
2007	J	`jnl`	A Functional Equation with Exponential Solutions: 11180. Am. Math. Mon. Suat Namli, O. P. Lossers
2007	J	`jnl`	A Gamma Function Inequality: 11169. Am. Math. Mon. Mohammad Hossein Mehrabi, O. P. Lossers
2007	J	`jnl`	A Quick Inequality: 11189. Am. Math. Mon. Lajos Csete, O. P. Lossers
2007	J	`jnl`	Kronecker-Like Convergence: 11200. Am. Math. Mon. Joel Zinn, O. P. Lossers
2007	J	`jnl`	Partitions of a Circular Set: 11151. Am. Math. Mon. Donald E. Knuth, O. P. Lossers
2007	J	`jnl`	Peaks in Dyck Paths: 11150. Am. Math. Mon. Emeric Deutsch, O. P. Lossers
2006	J	`jnl`	An Odd Inequality: 11139. Am. Math. Mon. Grahame Bennett, O. P. Lossers
2006	J	`jnl`	Implicit Derivative Continuous: 11141. Am. Math. Mon. Richard Bagby, O. P. Lossers
2006	J	`jnl`	Perfect Squares From Punctured Squares: 11138. Am. Math. Mon. Roberto Tauraso, O. P. Lossers
2006	J	`jnl`	Simple Roots for Polynomials: 11094. Am. Math. Mon. Michel Bataille, O. P. Lossers
2006	J	`jnl`	Trapezoid Inscribed in Ellipse: 11095. Am. Math. Mon. Vasile Mihai, O. P. Lossers
2005	J	`jnl`	A Vanishing Infinite Sum: 11058. Am. Math. Mon. Óscar Ciaurri, O. P. Lossers
2005	J	`jnl`	Integral by Mellin Transform: 11067. Am. Math. Mon. George Lamb, O. P. Lossers
2005	J	`jnl`	Modular Sequences Defined by Polynomials: 11047. Am. Math. Mon. Syrous Marivani, O. P. Lossers
2005	J	`jnl`	Point Causing Equal Angles: 10996. Am. Math. Mon. Wu Wei Chao, O. P. Lossers
2004	J	`jnl`	An Integral Three Ways: 11000. Am. Math. Mon. George Lamb, Cornelius Stallmann, Gerald Thompson, Zafar Ahmed, O. P. Lossers
2004	J	`jnl`	Comparing Odd Parts in Conjugate Partitions: 10969. Am. Math. Mon. Richard P. Stanley, O. P. Lossers
2003	J	`jnl`	An Inequality for Triangles: 10950. Am. Math. Mon. Ovidiu Furdui, O. P. Lossers
2003	J	`jnl`	Best Polynomial Approximations: 10903. Am. Math. Mon. Richard Bagby, O. P. Lossers
2003	J	`jnl`	Decay of a Markov Chain: 10941. Am. Math. Mon. Jeffrey C. Lagarias, Thomas Hermann, O. P. Lossers
2003	J	`jnl`	Exploring All Binary Mazes: 10720. Am. Math. Mon. Donald E. Knuth, O. P. Lossers
2002	J	`jnl`	A Characterization of a Quadratic Polynomial: 10848. Am. Math. Mon. Kenneth B. Stolarsky, O. P. Lossers, et al.
2002	J	`jnl`	An Elaborate Uniform Convergence: 10840. Am. Math. Mon. Jiansheng Yang, Shulin Zhou, O. P. Lossers
2002	J	`jnl`	Cassini's Length: 10889. Am. Math. Mon. Klaus Huber, O. P. Lossers, Norbert Ortner, A. Serret
2002	J	`jnl`	Divisibility Involving Random Sets of Integers: 10782. Am. Math. Mon. Douglas Iannucci, O. P. Lossers, et al.
2002	J	`jnl`	Isodynamic Points of a Triangle: 10909. Am. Math. Mon. Támás Kalmán, O. P. Lossers
2002	J	`jnl`	The Minimum Median: 10880. Am. Math. Mon. Razvan A. Satnoianu, O. P. Lossers
2001	J	`jnl`	A Congruence for Pascal Triangular Matrices: 10735. Am. Math. Mon. Gustavus J. Simmons, John Henry Steelman, O. P. Lossers, et al.
2001	J	`jnl`	Comparing a Sum over Quadratic Residues and Nonresidues: 10743. Am. Math. Mon. Calin Popescu, O. P. Lossers
2001	J	`jnl`	Leaves of Ordered Trees: 10757. Am. Math. Mon. Mark E. Kidwell, Donald E. Knuth, O. P. Lossers
2001	J	`jnl`	Maximum of a Polynomial on the Unit Circle: 10779. Am. Math. Mon. Andrei Jorza, O. P. Lossers
2001	J	`jnl`	Periods from Sums of Powers: 10727. Am. Math. Mon. Jean Anglesio, O. P. Lossers
2001	J	`jnl`	The Decimal Expansions of Powers of 9: 10758. Am. Math. Mon. Mark V. Sapir, O. P. Lossers, Hugh L. Montgomery
2000	J	`jnl`	A Convoluted Recursion: 10762. Am. Math. Mon. Leroy Quet, O. P. Lossers
2000	J	`jnl`	A Square Game: 10696. Am. Math. Mon. Gerald Heuer, Kenneth F. Andersen, Patrick J. Fitzsimmons, Karl Heuer, S. S. Kim, John H. Lindsey II, O. P. Lossers, K. Poelladennou, K. Schilling, L. Scribani, Plamen Simeonov
2000	J	`jnl`	A Sum of Chebyshev Inequalities: 10687. Am. Math. Mon. James C. Owings Jr., Jeremy E. Dawson, Robin J. Chapman, Darryl K. Nester, Robert A. Agnew, John Beebee, David Callan, R. Garcia-Pelayo, V. Hernandez, J. Martin, J. Hickman, D. Jones, S. S. Kim, Olaf Krafft, Martin Schaefer, G. Letac, John H. Lindsey II, O. P. Lossers, K. Poelladennou, K. Schilling, M. Shemesh
2000	J	`jnl`	Complex Roots of a Polynomial: 10688. Am. Math. Mon. Ioan Tomescu, Kee-Wai Lau, O. P. Lossers, Kenneth F. Andersen, Robin J. Chapman, Óscar Ciaurri, E. Fernandez, Valerio De Angelis, Emeric Deutsch, G. Will, M. Falkowitz, Zachary Franco, C. Georghiou, J. Lewandowski, Albert Nijenhuis, Timothy S. Norfolk, Allen Stenger
2000	J	`jnl`	Incenters and Excenters: 10693. Am. Math. Mon. Wu Wei Chao, Michael Reid, F. Bellot Rosado, Robin J. Chapman, Daniele Donini, Shalosh B. Ekhad, N. Lakshmanan, O. P. Lossers, Albert Nijenhuis, Peter Nüesch, C. G. Petalas
2000	J	`jnl`	Points That Form Simplices of Equal Volume: 10685. Am. Math. Mon. Michael Golomb, G. Donald Chakerian, Robin J. Chapman, John H. Lindsey II, O. P. Lossers, Albert Nijenhuis
2000	J	`jnl`	The Real Numbers, Algebraically: 10689. Am. Math. Mon. Donald E. Knuth, Vaughan R. Pratt, O. P. Lossers
2000	J	`jnl`	The Variance of Logarithms: 10690. Am. Math. Mon. Robert Helmbold, Wook Kim, Robert A. Agnew, Zafar Ahmed, Saïd Amghibech, Kenneth F. Andersen, P. J. Anderson, G. Bower, Bruce S. Burdick, Robin J. Chapman, Daniele Donini, Patrick J. Fitzsimmons, Richard A. Groeneveld, V. Hernandez, J. Martin, Ellen Hertz, Barthel Wayne Huff, Gregory Keselman, S. S. Kim, R. A. Leslie, John H. Lindsey II, O. P. Lossers, Reiner Martin, Darryl K. Nester, G. Peng, Volkhard Schindler, L. Scribani, Heinz-Jürgen Seiffert, Plamen Simeonov, A. H. Stein, Douglas B. Tyler, Erik I. Verriest
2000	J	`jnl`	Tiling Rectangles with Trominoes: 10641. Am. Math. Mon. Jerrold R. Griggs, Michael Woltermann, B. Borchers, David Callan, Robin J. Chapman, J. Chilcott, Paul Cull, A. Ferguson, K. Martin, G. G. Gagola, Solomon W. Golomb, J. Guilford, S. Louis Hakimi, Edward F. Schmeichel, J. K. Haugland, C. H. Jepson, R. Johnsonbaugh, André Kündgen, S. Levandosky, J. T. Lewis, John H. Lindsey II, O. P. Lossers, Reiner Martin, R. Morris, Gerald Myerson, José Heber Nieto, E. Rykken, J. Sorensen, J. Schlosberg, W. Seaman, J. T. Ward, Z. Zeuge
1995	J	`jnl`	Overlapping Binary Sequences (G. Blom). SIAM Rev. O. P. Lossers
1989	J	`jnl`	A Generalized Hypergeometric-Type Identity (C. C. Grosjean). SIAM Rev. O. P. Lossers

/*
 * YARA-Forge YARA Rule Package
 * https://github.com/YARAHQ/yara-forge
 * 
 * Rule Package Information
 * Name: extended 
 * Description: Default YARA Rule Package - Extended
 * YARA-Forge Version: 0.9.1
 * YARA-QA Commit: a3aa7a36859045e8de8a308a0c5f360b184ea470
 * Minimum Quality: 50
 * Force Include Importance Level: 70
 * Force Exclude Importance Level: 20
 * Minimum Age (in days): 1
 * Minimum Score: 60
 * Creation Date: 2026-01-04
 * Number of Rules: 10391
 * Skipped: 10 (age), 523 (quality), 771 (score), 0 (importance)
 */

import "math"
import "hash"
import "dotnet"
import "pe"


/*
 * YARA Rule Set
 * Repository Name: ReversingLabs
 * Repository: https://github.com/reversinglabs/reversinglabs-yara-rules/
 * Retrieval Date: 2026-01-04
 * Git Commit: e0a0be54aa1e11ccfd6854e4f19e9476f328fd84
 * Number of Rules: 1239
 * Skipped: 0 (age), 0 (quality), 1 (score), 0 (importance)
 *
 * 
 * LICENSE
 * 
 * Copyright (c) 2020 ReversingLabs

Permission is hereby granted, free of charge, to any person obtaining a copy of
this software and associated documentation files (the "Software"), to deal in
the Software without restriction, including without limitation the rights to
use, copy, modify, merge, publish, distribute, sublicense, and/or sell copies
of the Software, and to permit persons to whom the Software is furnished to do
so, subject to the following conditions:

The above copyright notice and this permission notice shall be included in all
copies or substantial portions of the Software.

THE SOFTWARE IS PROVIDED "AS IS", WITHOUT WARRANTY OF ANY KIND, EXPRESS OR
IMPLIED, INCLUDING BUT NOT LIMITED TO THE WARRANTIES OF MERCHANTABILITY,
FITNESS FOR A PARTICULAR PURPOSE AND NONINFRINGEMENT. IN NO EVENT SHALL THE
AUTHORS OR COPYRIGHT HOLDERS BE LIABLE FOR ANY CLAIM, DAMAGES OR OTHER
LIABILITY, WHETHER IN AN ACTION OF CONTRACT, TORT OR OTHERWISE, ARISING FROM,
OUT OF OR IN CONNECTION WITH THE SOFTWARE OR THE USE OR OTHER DEALINGS IN THE
SOFTWARE.
 */
rule REVERSINGLABS_Win32_Infostealer_Multigrainpos : TC_DETECTION MALICIOUS MALWARE FILE
{
	meta:
		description = "Yara rule that detects MultigrainPOS infostealer."
		author = "ReversingLabs"
		id = "595c04af-802f-556d-b22b-23cac79b256e"
		date = "2020-07-15"
		modified = "2020-07-15"
		reference = "ReversingLabs"
		source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/infostealer/Win32.Infostealer.MultigrainPOS.yara#L1-L88"
		license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE"
		logic_hash = "9808c95b850a54677c4132057b8372cabf0159920b7e0e6834a83f0d39c088fa"
		score = 75
		quality = 90
		tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE"
		status = "RELEASED"
		sharing = "TLP:WHITE"
		category = "MALWARE"
		tc_detection_type = "Infostealer"
		tc_detection_name = "MultigrainPOS"
		tc_detection_factor = 5
		importance = 25

	strings:
		$data_exfiltration_v10_1 = {
            55 8B EC 83 EC ?? A1 ?? ?? ?? ?? 33 C5 89 45 ?? 53 8B 1D ?? ?? ?? ?? 56 57 8B 3D ?? 
            ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 83 7D ?? ?? 6A ?? 8D 4D ?? 51 6A ?? 6A ?? 8D 45 ?? 0F 
            43 45 ?? 6A ?? 50 FF 15 ?? ?? ?? ?? 6A ?? 85 C0 75 ?? 8B 45 ?? 50 8B 70 ?? FF D7 81 
            FE ?? ?? ?? ?? 74 ?? 81 FE ?? ?? ?? ?? 75 ?? 83 7D ?? ?? 5F 5E 5B 72 ?? FF 75 ?? E8 
            ?? ?? ?? ?? 83 C4 ?? 8B 4D ?? 33 CD B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B E5 5D C2 ?? ?? 
            FF 75 ?? FF D7 68 ?? ?? ?? ?? FF D3 EB
        }
		$memory_scraping_v10_1 = {
            6A ?? 56 8B CF E8 ?? ?? ?? ?? 85 C0 75 ?? 6A ?? 56 8B CF E8 ?? ?? ?? ?? 8B 8D ?? ?? 
            ?? ?? EB ?? 3C ?? 7C ?? 3C ?? 7E ?? 8A 46 ?? 3C ?? 7C ?? 3C ?? 7E ?? 3C ?? 74
        }
		$process_search_v10_1 = {
            55 8B EC 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C5 89 45 ?? 53 56 57 68 ?? ?? ?? ?? E8 
            ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? C7 85 ?? ?? ?? ?? ?? ?? 
            ?? ?? 6A ?? 6A ?? FF 15 ?? ?? ?? ?? 8B F0 8D 85 ?? ?? ?? ?? 50 56 FF 15 ?? ?? ?? ?? 
            85 C0 74 ?? 8B 3D ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 56 FF D7 85 C0 74 ?? 8B 1D ?? ?? 
            ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 50 FF D3 85 C0 74 ?? 8D 
            85 ?? ?? ?? ?? 50 56 FF D7 85 C0 75
        }
		$service_creation_v10_1 = {
            68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 8D 44 24 ?? 50 8D 4C 24 ?? C7 44 24 ?? ?? ?? 
            ?? ?? E8 ?? ?? ?? ?? 8D 4C 24 ?? E8 ?? ?? ?? ?? 33 C0 5E 8B 4C 24 ?? 33 CC E8 ?? ?? 
            ?? ?? 8B E5 5D C3 8B 35 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF D6 8D 44 24 ?? 50 C7 44 24 ?? 
            ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 
            FF 15
        }
		$process_search_v11_1 = {
            55 8B EC 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C5 89 45 ?? 53 56 57 8B 7D ?? FF 15 ?? 
            ?? ?? ?? 8B 1D ?? ?? ?? ?? 8B 35 ?? ?? ?? ?? EB ?? 8D 49 ?? 68 ?? ?? ?? ?? 8D 85 ?? 
            ?? ?? ?? 6A ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 6A ?? 6A ?? 
            FF 15 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 83 F8 ?? 75 ?? 68 ?? ?? ?? ?? FF D3 EB ?? 8D 8D 
            ?? ?? ?? ?? 51 50 FF 15 ?? ?? ?? ?? 8B 9D ?? ?? ?? ?? 33 C0 68 ?? ?? ?? ?? 50 66 89 
            85 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 33 C9 EB ?? 8D A4 24 ?? 
            ?? ?? ?? EB ?? 8D 49 ?? 0F B7 84 0D ?? ?? ?? ?? 66 89 84 0D ?? ?? ?? ?? 8D 49 ?? 66 
            85 C0 75 ?? 8D 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 
            50 FF 15 ?? ?? ?? ?? 85 C0 74 ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 FF 15
        }
		$memory_scraping_v11_1 = {
            6A ?? 56 8B CF E8 ?? ?? ?? ?? 6A ?? 56 8B CF E8 ?? ?? ?? ?? EB ?? 3C ?? 75 ?? 6A ?? 
            56 8B CF E8 ?? ?? ?? ?? 6A ?? 56 8B CF E8
        }
		$data_exfiltration_v11_1 = {
            55 8B EC 83 EC ?? A1 ?? ?? ?? ?? 33 C5 89 45 ?? 53 8A 5D ?? 56 57 8B 3D ?? ?? ?? ?? 
            C7 45 ?? ?? ?? ?? ?? 83 7D ?? ?? 6A ?? 8D 4D ?? 51 6A ?? 6A ?? 8D 45 ?? 0F 43 45 ?? 
            6A ?? 50 FF 15 ?? ?? ?? ?? 6A ?? 85 C0 75 ?? 8B 45 ?? 50 8B 70 ?? FF D7 81 FE ?? ?? 
            ?? ?? 74 ?? 81 FE ?? ?? ?? ?? 74 ?? 84 DB 74 ?? 33 F6 83 7D ?? ?? 72 ?? FF 75 ?? E8 
            ?? ?? ?? ?? 83 C4 ?? 8B 4D ?? 5F 8B C6 5E 33 CD 5B E8 ?? ?? ?? ?? 8B E5 5D C2 ?? ?? 
            FF 75 ?? FF D7 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 84 DB 74 ?? EB ?? BE ?? ?? ?? ?? EB
        }
		$service_creation_v11_1 = {
            68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 8D 44 24 ?? 50 8D 4C 24 ?? C7 44 24 ?? ?? ?? 
            ?? ?? E8 ?? ?? ?? ?? 8D 4C 24 ?? E8 ?? ?? ?? ?? 33 C0 8B 4C 24 ?? 33 CC E8 ?? ?? ?? 
            ?? 8B E5 5D C3 8D 44 24 ?? 50 C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 
            24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? FF 15 
        }

	condition:
		uint16( 0 ) == 0x5A4D and ( ( $data_exfiltration_v10_1 and $memory_scraping_v10_1 and $process_search_v10_1 and $service_creation_v10_1 ) or ( $process_search_v11_1 and $memory_scraping_v11_1 and $data_exfiltration_v11_1 and $service_creation_v11_1 ) )
}
rule REVERSINGLABS_Win32_Infostealer_Projecthookpos : TC_DETECTION MALICIOUS MALWARE FILE
{
	meta:
		description = "Yara rule that detects ProjectHookPOS infostealer."
		author = "ReversingLabs"
		id = "dcb96a99-c8c0-5878-a3a5-fe3cfeec43c6"
		date = "2020-07-15"
		modified = "2020-07-15"
		reference = "ReversingLabs"
		source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/infostealer/Win32.Infostealer.ProjectHookPOS.yara#L1-L98"
		license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE"
		logic_hash = "b7534c9e905256aaf80f04b746a92c50689437b288f7e393ef13fde1740c4a4e"
		score = 75
		quality = 90
		tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE"
		status = "RELEASED"
		sharing = "TLP:WHITE"
		category = "MALWARE"
		tc_detection_type = "Infostealer"
		tc_detection_name = "ProjectHookPOS"
		tc_detection_factor = 5
		importance = 25

	strings:
		$calc_luhn = {
            55 8B EC 83 C4 ?? 53 56 57 33 C9 89 4D ?? 89 55 ?? 8B 45 ?? E8 ?? ?? ?? ?? 33 C0 55 
            68 ?? ?? ?? ?? 64 FF 30 64 89 20 C6 45 ?? ?? 33 C0 89 45 ?? 8B 45 ?? 85 C0 74 ?? 8B 
            D0 83 EA ?? 66 83 3A ?? 74 ?? 8D 45 ?? 8B 55 ?? E8 ?? ?? ?? ?? 85 C0 74 ?? 83 E8 ?? 
            8B 00 25 ?? ?? ?? ?? 79 ?? 48 83 C8 ?? 40 85 C0 0F 94 C3 8B 45 ?? 85 C0 74 ?? 8B D0 
            83 EA ?? 66 83 3A ?? 74 ?? 8D 45 ?? 8B 55 ?? E8 ?? ?? ?? ?? 85 C0 74 ?? 83 E8 ?? 8B 
            00 8B F0 85 F6 7E ?? BF ?? ?? ?? ?? 8D 45 ?? 8B 55 ?? 0F B7 54 7A ?? E8 ?? ?? ?? ?? 
            8B 45 ?? 83 CA ?? E8 ?? ?? ?? ?? 0F B6 D0 66 83 FA ?? 75 ?? C6 45 ?? ?? EB ?? 84 DB 
            74 ?? 0F B6 C0 0F B6 80 ?? ?? ?? ?? 01 45 ?? EB ?? 0F B6 C0 01 45 ?? 80 F3 ?? 47 4E 
            75 ?? 8B 45 ?? B9 ?? ?? ?? ?? 99 F7 F9 85 D2 75 ?? 80 7D ?? ?? 74 ?? 33 DB EB ?? B3 
            ?? 33 C0 5A 59 59 64 89 10 68 ?? ?? ?? ?? 8D 45 ?? E8 ?? ?? ?? ?? 8D 45 ?? E8 ?? ?? 
            ?? ?? C3 E9 ?? ?? ?? ?? EB ?? 8B C3 5F 5E 5B 8B E5 5D C3 
        }
		$track_1_reverse = {
            55 8B EC 83 C4 ?? 53 56 33 DB 89 5D ?? 8B F1 89 55 ?? 8B 45 ?? E8 ?? ?? ?? ?? 33 C0 
            55 68 ?? ?? ?? ?? 64 FF 30 64 89 20 8B C6 33 D2 E8 ?? ?? ?? ?? 8B 45 ?? 85 C0 74 ?? 
            8B D0 83 EA ?? 66 83 3A ?? 74 ?? 8D 45 ?? 8B 55 ?? E8 ?? ?? ?? ?? 85 C0 74 ?? 83 E8 
            ?? 8B 00 8B D8 83 FB ?? 7C ?? 8D 45 ?? 50 B9 ?? ?? ?? ?? 8B D3 8B 45 ?? E8 ?? ?? ?? 
            ?? 8B 55 ?? 8B C6 E8 ?? ?? ?? ?? 4B 85 DB 75 ?? 33 C0 5A 59 59 64 89 10 68 ?? ?? ?? 
            ?? 8D 45 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? C3 E9 ?? ?? ?? ?? EB ?? 5E 5B 59 59 5D C3 
        }
		$check_validity_1 = {
            8B D0 83 EA ?? 66 83 3A ?? 74 ?? 8D 45 ?? 8B 55 ?? E8 ?? ?? ?? ?? 66 83 38 ?? 75 ?? 
            8B 45 ?? 85 C0 74 ?? 8B D0 83 EA ?? 66 83 3A ?? 74 ?? 8D 45 ?? 8B 55 ?? E8 ?? ?? ?? 
            ?? 66 83 78 ?? ?? 0F 94 C0 EB ?? 33 C0 84 C0 0F 84 ?? ?? ?? ?? 8B 45 ?? 85 C0 74 ?? 
            8B D0 83 EA ?? 66 83 3A ?? 74 ?? 8D 45 ?? 8B 55 ?? E8 ?? ?? ?? ?? 66 83 78 ?? ?? 0F 
            85 ?? ?? ?? ?? 8B 45 ?? 85 C0 74 ?? 8B D0 83 EA ?? 66 83 3A ?? 74 ?? 8D 45 ?? 8B 55 
            ?? E8 ?? ?? ?? ?? BE ?? ?? ?? ?? 66 81 78 ?? ?? ?? 73 ?? 0F B6 40 ?? 0F B6 C0 0F A3 
            06 72 ?? 33 C0 EB 
        }
		$encode_and_send_1 = {
            64 89 20 B2 ?? A1 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B D8 33 C9 B2 ?? A1 ?? ?? ?? ?? E8 ?? 
            ?? ?? ?? 8B F0 8D 4D ?? 8B 55 ?? 8B C7 E8 ?? ?? ?? ?? 8B 4D ?? 8D 45 ?? BA ?? ?? ?? 
            ?? E8 ?? ?? ?? ?? 8B 55 ?? 8B C3 8B 08 FF 51 ?? 8D 45 ?? 8B 4D ?? BA ?? ?? ?? ?? E8 
            ?? ?? ?? ?? 8B 55 ?? 8B C3 8B 08 FF 51 ?? 8D 45 ?? 8B 4D ?? BA ?? ?? ?? ?? E8 ?? ?? 
            ?? ?? 8B 55 ?? 8B C3 8B 08 FF 51 ?? 8D 45 ?? 8B 4D ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 
            8B 55 ?? 8B C3 8B 08 FF 51 ?? 8B C6 E8 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 
            C6 E8 ?? ?? ?? ?? 05 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 45 ?? 50 8B CB BA 
            ?? ?? ?? ?? 8B C6 E8 ?? ?? ?? ?? 8B C3 E8 ?? ?? ?? ?? 8B C6 E8
        }
		$form_create_1 = {
            8D 55 ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 45 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 45 
            ?? E8 ?? ?? ?? ?? 8B D0 8D 45 ?? E8 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 6A ?? 8D 55 
            ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 45 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 45 ?? E8 
            ?? ?? ?? ?? 50 8D 55 ?? A1 ?? ?? ?? ?? 8B 00 E8 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 
            50 E8 ?? ?? ?? ?? 8D 55 ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 45 ?? BA ?? ?? ?? ?? E8 
            ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B D0 8D 45 ?? E8 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? 
            ?? ?? 84 C0 0F 84
        }
		$form_create_2 = {
            33 C9 B2 ?? A1 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B D8 8B C3 E8 ?? ?? ?? ?? 05 ?? ?? ?? ?? 
            BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 4D ?? BA ?? ?? ?? ?? 8B C3 E8 ?? ?? ?? ?? 8D 55 ?? 
            B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 45 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 45 ?? E8 ?? 
            ?? ?? ?? 8B D0 8D 45 ?? E8 ?? ?? ?? ?? 8B 45 ?? 33 C9 BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 
            8B C3 E8
        }
		$form_create_3 = {
            B2 ?? A1 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B D8 BA ?? ?? ?? ?? 8B C3 E8 ?? ?? ?? ?? 33 C9 
            BA ?? ?? ?? ?? 8B C3 E8 ?? ?? ?? ?? 8D 55 ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 45 ?? 
            BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B D0 8D 45 ?? E8 ?? ?? ?? ?? 
            8B 4D ?? BA ?? ?? ?? ?? 8B C3 E8 ?? ?? ?? ?? 8B C3 E8 ?? ?? ?? ?? 33 C9 BA ?? ?? ?? 
            ?? 8B C3 E8 ?? ?? ?? ?? 33 C9 BA ?? ?? ?? ?? 8B C3 E8 ?? ?? ?? ?? 8B C3 E8 ?? ?? ?? 
            ?? 8B C3 E8 ?? ?? ?? ?? 8B 0D ?? ?? ?? ?? 8B 09 B2 ?? A1 ?? ?? ?? ?? E8 ?? ?? ?? ?? 
            A3 ?? ?? ?? ?? BA ?? ?? ?? ?? A1 ?? ?? ?? ?? E8 ?? ?? ?? ?? 56 68 ?? ?? ?? ?? A1 ?? 
            ?? ?? ?? E8 ?? ?? ?? ?? B2 ?? A1 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B C6 E8 ?? ?? ?? ?? 84 
            C0 74
        }

	condition:
		uint16( 0 ) == 0x5A4D and ( $calc_luhn and $track_1_reverse and $check_validity_1 and $encode_and_send_1 and $form_create_1 and $form_create_2 and $form_create_3 )
}
rule REVERSINGLABS_Win32_Infostealer_Lumarstealer : TC_DETECTION MALICIOUS MALWARE FILE
{
	meta:
		description = "Yara rule that detects LumarStealer infostealer."
		author = "ReversingLabs"
		id = "a1358846-7cc2-53ac-89a9-c6c99f492284"
		date = "2023-12-07"
		modified = "2023-12-07"
		reference = "ReversingLabs"
		source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/infostealer/Win32.Infostealer.LumarStealer.yara#L1-L190"
		license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE"
		logic_hash = "0bc9e12396b1e85f69b965e9ea50960c59c50aba40317fb4de8f6abd092ec7d2"
		score = 75
		quality = 90
		tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE"
		status = "RELEASED"
		sharing = "TLP:WHITE"
		category = "MALWARE"
		tc_detection_type = "Infostealer"
		tc_detection_name = "LumarStealer"
		tc_detection_factor = 5
		importance = 25

	strings:
		$collect_os_information_p1 = {
            55 8B EC 81 EC ?? ?? ?? ?? 53 56 B8 ?? ?? ?? ?? C1 E0 ?? 8B 88 ?? ?? ?? ?? FF D1 66
            A3 ?? ?? ?? ?? BA ?? ?? ?? ?? 66 89 55 ?? B8 ?? ?? ?? ?? 66 89 45 ?? B9 ?? ?? ?? ??
            66 89 4D ?? BA ?? ?? ?? ?? 66 89 55 ?? B8 ?? ?? ?? ?? 66 89 45 ?? B9 ?? ?? ?? ?? 66
            89 4D ?? BA ?? ?? ?? ?? 66 89 55 ?? B8 ?? ?? ?? ?? 66 89 45 ?? B9 ?? ?? ?? ?? 66 89
            4D ?? BA ?? ?? ?? ?? 66 89 55 ?? C6 45 ?? ?? EB ?? 8A 45 ?? 04 ?? 88 45 ?? 0F B6 4D
            ?? 83 F9 ?? 73 ?? 0F B6 55 ?? 0F B7 44 55 ?? 0F B7 0D ?? ?? ?? ?? 3B C1 75 ?? FF 25
            ?? ?? ?? ?? EB ?? C7 45 ?? ?? ?? ?? ?? 33 D2 89 55 ?? 89 55 ?? 89 55 ?? C7 45 ?? ??
            ?? ?? ?? 8D 75 ?? B8 ?? ?? ?? ?? 33 C9 0F A2 89 06 89 5E ?? 89 4E ?? 89 56 ?? B8 ??
            ?? ?? ?? 6B C8 ?? 8B 54 0D ?? 89 55 ?? C7 45 ?? ?? ?? ?? ?? EB ?? 8B 45 ?? 83 C0 ??
            89 45 ?? 8B 4D ?? 3B 4D ?? 77 ?? 8D 75 ?? 8B 45 ?? 33 C9 0F A2 89 06 89 5E ?? 89 4E
            ?? 89 56 ?? 81 7D ?? ?? ?? ?? ?? 75 ?? 6A ?? 8D 55 ?? 52 68 ?? ?? ?? ?? E8 ?? ?? ??
            ?? 83 C4 ?? EB ?? 81 7D ?? ?? ?? ?? ?? 75 ?? 6A ?? 8D 45 ?? 50 68 ?? ?? ?? ?? E8 ??
            ?? ?? ?? 83 C4 ?? EB ?? 81 7D ?? ?? ?? ?? ?? 75 ?? 6A ?? 8D 4D ?? 51 68 ?? ?? ?? ??
            E8 ?? ?? ?? ?? 83 C4 ?? EB ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? C6 80 ?? ?? ??
            ?? ?? 8D 95 ?? ?? ?? ?? 52 B8 ?? ?? ?? ?? C1 E0 ?? 8B 88 ?? ?? ?? ?? FF D1 85 C0 74
            ?? 6A ?? 8D 95 ?? ?? ?? ?? 52 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 8D 85 ?? ?? ??
            ?? 50 B9 ?? ?? ?? ?? D1 E1 8B 91 ?? ?? ?? ?? FF D2 8B 45 ?? A3 ?? ?? ?? ?? C7 85 ??
            ?? ?? ?? ?? ?? ?? ?? 6A ?? 8D 8D ?? ?? ?? ?? 51 6A ?? 6A ?? BA ?? ?? ?? ?? 6B C2
        }
		$collect_os_information_p2 = {
            8B 88 ?? ?? ?? ?? FF D1 85 C0 74 ?? 68 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 52 68 ?? ?? ??
            ?? E8 ?? ?? ?? ?? 83 C4 ?? 8D 45 ?? 50 B9 ?? ?? ?? ?? 6B D1 ?? 8B 82 ?? ?? ?? ?? FF
            D0 85 C0 74 ?? 6A ?? 68 ?