Xiao Lin - RankMe

Year	Rank	Type	Title / Venue / Authors
2008	J	`jnl`	Robust Lossless Image Data Hiding Designed for Semi-Fragile Image Authentication. IEEE Trans. Circuits Syst. Video Technol. Zhicheng Ni, Yun Q. Shi, Nirwan Ansari, Wei Su, Qibin Sun, Xiao Lin
2007	J	`jnl`	Using edge direction information for measuring blocking artifacts of images. Multidimens. Syst. Signal Process. Feng Pan, Xiao Lin, Susanto Rahardja, Ee Ping Ong, Weisi Lin
2006	J	`jnl`	A fine granular scalable to lossless audio coder. IEEE Trans. Speech Audio Process. Rongshan Yu, Susanto Rahardja, Xiao Lin, Chi Chung Ko
2006	J	`jnl`	Adaptive frame skipping based on spatio-temporal complexity for low bit-rate video coding. J. Vis. Commun. Image Represent. Feng Pan, Zhiping Lin, Xiao Lin, Susanto Rahardja, W. Juwono, F. Slamet
2006	J	`jnl`	Adaptive rate control for H.264. J. Vis. Commun. Image Represent. Zhengguo Li, Wen Gao, Feng Pan, S. W. Ma, Keng Pang Lim, G. N. Feng, Xiao Lin, Susanto Rahardja, H. Q. Lu, Yan Lu
2006	—	`conf`	Cascaded RLS-LMS Prediction in MPEG-4 Lossless Audio Coding. ICASSP (5) Haibin Huang, Susanto Rahardja, Xiao Lin, Rongshan Yu, Pasi Fränti
2006	J	`jnl`	Integer MDCT with enhanced approximation of the DCT-IV. IEEE Trans. Signal Process. Haibin Huang, Susanto Rahardja, Rongshan Yu, Xiao Lin
2006	J	`jnl`	Perceptual quality and objective quality measurements of compressed videos. J. Vis. Commun. Image Represent. Ee Ping Ong, Xiaokang Yang, Weisi Lin, Zhongkang Lu, Susu Yao, Xiao Lin, Susanto Rahardja, Choong Seng Boon
2005	—	`conf`	A post-processing algorithm using histogram-driven anisotropic diffusion. ISCAS (5) Susu Yao, Keng Pang Lim, Xiao Lin, Susanto Rahardja
2005	—	`conf`	An adaptive edge-preserving artifacts removal filter for video post-processing. ISCAS (5) Xiaokang Yang, Susu Yao, Keng Pang Lim, Xiao Lin, Susanto Rahardja, Feng Pan
2005	J	`jnl`	An unequal packet loss resilience scheme for video over the Internet. IEEE Trans. Multim. Xiaokang Yang, Ce Zhu, Zhengguo Li, Xiao Lin, Nam Ling
2005	C	`conf`	Customer Adaptive Combined SNR and Spatial Scalability. MMSP Zhengguo Li, Susanto Rahardja, Xiao Lin, Wei Yao
2005	J	`jnl`	Fast intermode decision in H.264/AVC video coding. IEEE Trans. Circuits Syst. Video Technol. Dajun Wu, Feng Pan, Keng Pang Lim, Si Wu, Zhengguo Li, Xiao Lin, Susanto Rahardja, Chi Chung Ko
2005	J	`jnl`	Fast mode decision algorithm for intraprediction in H.264/AVC video coding. IEEE Trans. Circuits Syst. Video Technol. Feng Pan, Xiao Lin, Susanto Rahardja, Keng Pang Lim, Zhengguo Li, Dajun Wu, Si Wu
2005	J	`jnl`	Geometrically determining the leaky bucket parameters for video streaming over constant bit-rate channels. Signal Process. Image Commun. Ping Li, Weisi Lin, Susanto Rahardja, Xiao Lin, Xiaokang Yang, Zhengguo Li
2005	—	`conf`	Improving coding efficiency for MPEG-4 Audio Scalable Lossless coding. ICASSP (3) Rongshan Yu, Xiao Lin, Susanto Rahardja, Chi Chung Ko, Haibin Huang
2005	C	`conf`	Integrated Evaluation of Temporal and Spatial Distortions for Low Bit-rate Videos. MMSP Zhongkang Lu, Weisi Lin, Xiao Lin, Ee Ping Ong, Susu Yao
2005	C	`conf`	MPEG-4 Scalable to Lossless Audio Coding - Emerging International Standard for Digital Audio Compression. MMSP Rongshan Yu, Xiao Lin, Susanto Rahardja, Haibin Huang
2005	—	`conf`	Perceived visual quality metric based on error spread and contrast. ISCAS (4) Susu Yao, Weisi Lin, Susanto Rahardja, Xiao Lin, Ee Ping Ong, Zhongkang Lu, Xiaokang Yang
2005	J	`jnl`	Rate Control for Videophone Using Local Perceptual Cues. IEEE Trans. Circuits Syst. Video Technol. Xiaokang Yang, Weisi Lin, Zhongkang Lu, Xiao Lin, Susanto Rahardja, Ee Ping Ong, Susu Yao
2004	A	`conf`	A directional field based fast intra mode decision algorithm for H.264 video coding. ICME Feng Pan, Xiao Lin, Susanto Rahardja, Keng Pang Lim, Zhengguo Li
2004	—	`conf`	A fast algorithm of integer MDCT for lossless audio coding. ICASSP (4) Haibin Huang, Susanto Rahardja, Rongshan Yu, Xiao Lin
2004	J	`jnl`	A locally adaptive algorithm for measuring blocking artifacts in images and videos. Signal Process. Image Commun. Feng Pan, Xiao Lin, Susanto Rahardja, Weisi Lin, Ee Ping Ong, Susu Yao, Zhongkang Lu, Xiaokang Yang
2004	—	`conf`	A locally-adaptive algorithm for measuring blocking artifacts in images and videos. ISCAS (3) Feng Pan, Xiao Lin, Susanto Rahardja, Weisi Lin, Ee Ping Ong, Susu Yao, Zhongkang Lu, Xiaokang Yang
2004	—	`conf`	A scalable lossy to lossless audio coder for MPEG-4 lossless audio coding. ICASSP (3) Rongshan Yu, Xiao Lin, Susanto Rahardja, Chi Chong Ko
2004	A	`conf`	A statistics study of the MDCT coefficient distribution for audio. ICME Rongshan Yu, Xiao Lin, Susanto Rahardja, Chi Chung Ko
2004	A	`conf`	A unified authentication framework for JPEG2000. ICME Zhishou Zhang, Gang Qiu, Qibin Sun, Xiao Lin, Zhicheng Ni, Yun Q. Shi
2004	—	`conf`	Adaptive intra-frame quantization for very low bit rate video coding. ISCAS (3) Feng Pan, Zhengguo Li, Keng Pang Lim, Xiao Lin, Susanto Rahardja, Si Wu, Dajun Wu
2004	B	`conf`	Adaptive rate control for H.264. ICIP Zhengguo Li, Feng Pan, Keng Pang Lim, Xiao Lin, Susanto Rahardja
2004	A	`conf`	An iterative method for hypothetical reference decoder. ICME Zhengguo Li, Nam Ling, Susanto Rahardja, Xiao Lin, Ping Li
2004	—	`conf`	Block INTER mode decision for fast encoding of H.264. ICASSP (3) Dajun Wu, Si Wu, Keng Pang Lim, Feng Pan, Zhengguo Li, Xiao Lin
2004	A	`conf`	Complexity adaptive quantization for intra-frames in very low bit rate video coding. ICME Feng Pan, Zhengguo Li, Keng Pang Lim, Xiao Lin, Susanto Rahardja, Dajun Wu, Si Wu
2004	J	`jnl`	Efficient inner search for faster diamond search. Signal Process. Ce Zhu, Xiao Lin, Lap-Pui Chau, Hock-Ann Ang, Choo-Yin Ong
2004	J	`jnl`	Enhanced hexagonal search for fast block motion estimation. IEEE Trans. Circuits Syst. Video Technol. Ce Zhu, Xiao Lin, Lap-Pui Chau, Lai-Man Po
2004	B	`conf`	Fast intra mode decision algorithm for H.264/AVC video coding. ICIP Feng Pan, Xiao Lin, Susanto Rahardja, Keng Pang Lim, Zhengguo Li, Dajun Wu, Si Wu, C. All, W. Ye, Z. Liang
2004	—	`conf`	Geometrically determining leaky bucket parameters for video streaming over constant bit-rate channels. ICASSP (3) Ping Li, Weisi Lin, Susanto Rahardja, Xiao Lin, Xiaokang Yang, Zhengguo Li
2004	—	`conf`	Local visual perceptual clues and its use in videophone rate control. ISCAS (3) Xiaokang Yang, Weisi Lin, Zhongkang Lu, Xiao Lin, Susanto Rahardja, Ee Ping Ong, Susu Yao
2004	A	`conf`	Measuring blocking artifacts using edge direction information. ICME Feng Pan, Xiao Lin, Susanto Rahardja, Ee Ping Ong, Weisi Lin
2004	A	`conf`	Proactive frame-skipping decision scheme for variable frame rate video coding. ICME Feng Pan, Xiao Lin, Susanto Rahardja, Keng Pang Lim, Zhengguo Li, Dajun Wu, Si Wu
2004	A	`conf`	Robust lossless image data hiding. ICME Zhicheng Ni, Yun Q. Shi, Nirwan Ansari, Wei Su, Qibin Sun, Xiao Lin
2003	—	`conf`	A coding artifacts removal algorithm based on spatial and temporal regularization. ICIP (2) Susu Yao, Genan Feng, Xiao Lin, Keng Pang Lim, Weisi Lin
2003	A	`conf`	A fine granular scalable perceptually lossy and lossless audio coder. ICME Rongshan Yu, Xiao Lin, Susanto Rahardja, Chi Chung Ko
2003	A	`conf`	Adaptive frame layer rate control for H.264. ICME Zhengguo Li, Feng Pan, Keng Pang Lim, Genan Feng, Xiao Lin, Susanto Rahardja, Dajun Wu
2003	—	`conf`	An enhanced hexagonal search algorithm for block motion estimation. ISCAS (2) Ce Zhu, Xiao Lin, Lap-Pui Chau
2003	—	`conf`	Bit-plane Golomb coding for sources with Laplacian distributions. ICASSP (4) Rongshan Yu, Chi Chong Ko, Susanto Rahardja, Xiao Lin
2003	C	`conf`	Post-processing for JPEG 2000 image coding using recursive line filtering based on a fuzzy control model. VCIP Susu Yao, Susanto Rahardja, Xiao Lin, Keng Pang Lim, Zhongkang Lu
2003	—	`conf`	Quality evaluation of MPEG-4 and H.26L coded video for mobile multimedia communications. ISSPA (1) Ee Ping Ong, Weisi Lin, Zhongkang Lu, Xiaokang Yang, Susu Yao, Xiao Lin, Fulvio Moschetti
2003	J	`jnl`	Unequal loss protection for robust transmission of motion compensated video over the internet. Signal Process. Image Commun. Xiaokang Yang, Ce Zhu, Zhengguo Li, Xiao Lin, Zhengguo Feng, Si Wu, Nam Ling
2003	—	`conf`	Unequal packet loss resilience for MPEG-4 video over the Internet. ISCAS (2) Xiaokang Yang, Ce Zhu, Zhengguo Li, Xiao Lin, Nam Ling
2003	—	`conf`	Variable frame rate encoding via active frame-skipping. ISSPA (1) Feng Pan, Xiao Lin, Susanto Rahardja, Keng Pang Lim, Zhengguo Li, Dajun Wu, Si Wu, Lijun Jiang
2003	A	`conf`	Video streaming on embedded devices through GPRS network. ICME Keng Pang Lim, Dajun Wu, Si Wu, Susanto Rahardja, Xiao Lin, Lijun Jiang, Rongshan Yu, Feng Pan, Zhengguo Li, Susu Yao, Genan Feng, Chi Chung Ko
2002	J	`jnl`	A congestion control strategy for multipoint videoconferencing. IEEE Trans. Circuits Syst. Video Technol. Zhengguo Li, Xiao Lin, Ce Zhu, Xiaokang Yang, Genan Feng
2002	J	`jnl`	Hexagon-based search pattern for fast block motion estimation.. IEEE Trans. Circuits Syst. Video Technol. Ce Zhu, Xiao Lin, Lap-Pui Chau
2001	A	`conf`	A Congestion Control Strategy For Multipoint Videoconferencing. ICME Zhengguo Li, Xiao Lin
2001	A	`conf`	A Novel Prediction Scheme for Lossless Compression of Audio Waveform. ICME Xiao Lin, Li Gang, Zhengguo Li, Chia Thien King, Yoh Ai Ling
2001	Misc	`conf`	A novel hexagon-based search algorithm for fast block motion estimation. ICASSP Ce Zhu, Xiao Lin, Lap-Pui Chau, Keng Pang Lim, Hock-Ann Ang, Choo-Yin Ong
2001	J	`jnl`	An 8.0-/8.4-kbps wideband speech coder based on mixed excitation linear prediction. Signal Process. Weiran Lin, Soo Ngee Koh, Xiao Lin
2000	A	`conf`	A Standalone Video Communication System for Wire and Wireless Communications. IEEE International Conference on Multimedia and Expo (I) HonCheong Ng, Haibin Huang, Xiao Lin, HockLye Toh, Susanto Rahardja, Hui Lan, Xiang Chen
2000	C	`conf`	A Standalone Video Communication System for Wireless Applications. ISCC HonCheong Ng, HockLye Toh, Susanto Rahardja, Haibin Huang, Xiang Chen, Hui Lan, Xiao Lin
2000	Misc	`conf`	Mixed excitation linear prediction coding of wideband speech at 8 kbps. ICASSP Weiran Lin, Soo Ngee Koh, Xiao Lin
1999	C	`conf`	Designing a PC-based real-time speech communication system. MMSP Christopher K. C. Yap, Xiao Lin
1999	C	`conf`	Recognition of emotional state from spoken sentences. MMSP Xiao Lin, Yanqiu Chen, Soonleng Lim, Choonban Lim
1999	—	`conf`	Wideband speech coding using MELP model. ISSPA Weiran Lin, Soo Ngee Koh, Xiao Lin

/*
 * YARA-Forge YARA Rule Package
 * https://github.com/YARAHQ/yara-forge
 * 
 * Rule Package Information
 * Name: extended 
 * Description: Default YARA Rule Package - Extended
 * YARA-Forge Version: 0.9.1
 * YARA-QA Commit: a3aa7a36859045e8de8a308a0c5f360b184ea470
 * Minimum Quality: 50
 * Force Include Importance Level: 70
 * Force Exclude Importance Level: 20
 * Minimum Age (in days): 1
 * Minimum Score: 60
 * Creation Date: 2026-01-04
 * Number of Rules: 10391
 * Skipped: 10 (age), 523 (quality), 771 (score), 0 (importance)
 */

import "math"
import "hash"
import "dotnet"
import "pe"


/*
 * YARA Rule Set
 * Repository Name: ReversingLabs
 * Repository: https://github.com/reversinglabs/reversinglabs-yara-rules/
 * Retrieval Date: 2026-01-04
 * Git Commit: e0a0be54aa1e11ccfd6854e4f19e9476f328fd84
 * Number of Rules: 1239
 * Skipped: 0 (age), 0 (quality), 1 (score), 0 (importance)
 *
 * 
 * LICENSE
 * 
 * Copyright (c) 2020 ReversingLabs

Permission is hereby granted, free of charge, to any person obtaining a copy of
this software and associated documentation files (the "Software"), to deal in
the Software without restriction, including without limitation the rights to
use, copy, modify, merge, publish, distribute, sublicense, and/or sell copies
of the Software, and to permit persons to whom the Software is furnished to do
so, subject to the following conditions:

The above copyright notice and this permission notice shall be included in all
copies or substantial portions of the Software.

THE SOFTWARE IS PROVIDED "AS IS", WITHOUT WARRANTY OF ANY KIND, EXPRESS OR
IMPLIED, INCLUDING BUT NOT LIMITED TO THE WARRANTIES OF MERCHANTABILITY,
FITNESS FOR A PARTICULAR PURPOSE AND NONINFRINGEMENT. IN NO EVENT SHALL THE
AUTHORS OR COPYRIGHT HOLDERS BE LIABLE FOR ANY CLAIM, DAMAGES OR OTHER
LIABILITY, WHETHER IN AN ACTION OF CONTRACT, TORT OR OTHERWISE, ARISING FROM,
OUT OF OR IN CONNECTION WITH THE SOFTWARE OR THE USE OR OTHER DEALINGS IN THE
SOFTWARE.
 */
rule REVERSINGLABS_Win32_Infostealer_Multigrainpos : TC_DETECTION MALICIOUS MALWARE FILE
{
	meta:
		description = "Yara rule that detects MultigrainPOS infostealer."
		author = "ReversingLabs"
		id = "595c04af-802f-556d-b22b-23cac79b256e"
		date = "2020-07-15"
		modified = "2020-07-15"
		reference = "ReversingLabs"
		source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/infostealer/Win32.Infostealer.MultigrainPOS.yara#L1-L88"
		license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE"
		logic_hash = "9808c95b850a54677c4132057b8372cabf0159920b7e0e6834a83f0d39c088fa"
		score = 75
		quality = 90
		tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE"
		status = "RELEASED"
		sharing = "TLP:WHITE"
		category = "MALWARE"
		tc_detection_type = "Infostealer"
		tc_detection_name = "MultigrainPOS"
		tc_detection_factor = 5
		importance = 25

	strings:
		$data_exfiltration_v10_1 = {
            55 8B EC 83 EC ?? A1 ?? ?? ?? ?? 33 C5 89 45 ?? 53 8B 1D ?? ?? ?? ?? 56 57 8B 3D ?? 
            ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 83 7D ?? ?? 6A ?? 8D 4D ?? 51 6A ?? 6A ?? 8D 45 ?? 0F 
            43 45 ?? 6A ?? 50 FF 15 ?? ?? ?? ?? 6A ?? 85 C0 75 ?? 8B 45 ?? 50 8B 70 ?? FF D7 81 
            FE ?? ?? ?? ?? 74 ?? 81 FE ?? ?? ?? ?? 75 ?? 83 7D ?? ?? 5F 5E 5B 72 ?? FF 75 ?? E8 
            ?? ?? ?? ?? 83 C4 ?? 8B 4D ?? 33 CD B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B E5 5D C2 ?? ?? 
            FF 75 ?? FF D7 68 ?? ?? ?? ?? FF D3 EB
        }
		$memory_scraping_v10_1 = {
            6A ?? 56 8B CF E8 ?? ?? ?? ?? 85 C0 75 ?? 6A ?? 56 8B CF E8 ?? ?? ?? ?? 8B 8D ?? ?? 
            ?? ?? EB ?? 3C ?? 7C ?? 3C ?? 7E ?? 8A 46 ?? 3C ?? 7C ?? 3C ?? 7E ?? 3C ?? 74
        }
		$process_search_v10_1 = {
            55 8B EC 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C5 89 45 ?? 53 56 57 68 ?? ?? ?? ?? E8 
            ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? C7 85 ?? ?? ?? ?? ?? ?? 
            ?? ?? 6A ?? 6A ?? FF 15 ?? ?? ?? ?? 8B F0 8D 85 ?? ?? ?? ?? 50 56 FF 15 ?? ?? ?? ?? 
            85 C0 74 ?? 8B 3D ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 56 FF D7 85 C0 74 ?? 8B 1D ?? ?? 
            ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 50 FF D3 85 C0 74 ?? 8D 
            85 ?? ?? ?? ?? 50 56 FF D7 85 C0 75
        }
		$service_creation_v10_1 = {
            68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 8D 44 24 ?? 50 8D 4C 24 ?? C7 44 24 ?? ?? ?? 
            ?? ?? E8 ?? ?? ?? ?? 8D 4C 24 ?? E8 ?? ?? ?? ?? 33 C0 5E 8B 4C 24 ?? 33 CC E8 ?? ?? 
            ?? ?? 8B E5 5D C3 8B 35 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF D6 8D 44 24 ?? 50 C7 44 24 ?? 
            ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 
            FF 15
        }
		$process_search_v11_1 = {
            55 8B EC 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C5 89 45 ?? 53 56 57 8B 7D ?? FF 15 ?? 
            ?? ?? ?? 8B 1D ?? ?? ?? ?? 8B 35 ?? ?? ?? ?? EB ?? 8D 49 ?? 68 ?? ?? ?? ?? 8D 85 ?? 
            ?? ?? ?? 6A ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 6A ?? 6A ?? 
            FF 15 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 83 F8 ?? 75 ?? 68 ?? ?? ?? ?? FF D3 EB ?? 8D 8D 
            ?? ?? ?? ?? 51 50 FF 15 ?? ?? ?? ?? 8B 9D ?? ?? ?? ?? 33 C0 68 ?? ?? ?? ?? 50 66 89 
            85 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 33 C9 EB ?? 8D A4 24 ?? 
            ?? ?? ?? EB ?? 8D 49 ?? 0F B7 84 0D ?? ?? ?? ?? 66 89 84 0D ?? ?? ?? ?? 8D 49 ?? 66 
            85 C0 75 ?? 8D 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 
            50 FF 15 ?? ?? ?? ?? 85 C0 74 ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 FF 15
        }
		$memory_scraping_v11_1 = {
            6A ?? 56 8B CF E8 ?? ?? ?? ?? 6A ?? 56 8B CF E8 ?? ?? ?? ?? EB ?? 3C ?? 75 ?? 6A ?? 
            56 8B CF E8 ?? ?? ?? ?? 6A ?? 56 8B CF E8
        }
		$data_exfiltration_v11_1 = {
            55 8B EC 83 EC ?? A1 ?? ?? ?? ?? 33 C5 89 45 ?? 53 8A 5D ?? 56 57 8B 3D ?? ?? ?? ?? 
            C7 45 ?? ?? ?? ?? ?? 83 7D ?? ?? 6A ?? 8D 4D ?? 51 6A ?? 6A ?? 8D 45 ?? 0F 43 45 ?? 
            6A ?? 50 FF 15 ?? ?? ?? ?? 6A ?? 85 C0 75 ?? 8B 45 ?? 50 8B 70 ?? FF D7 81 FE ?? ?? 
            ?? ?? 74 ?? 81 FE ?? ?? ?? ?? 74 ?? 84 DB 74 ?? 33 F6 83 7D ?? ?? 72 ?? FF 75 ?? E8 
            ?? ?? ?? ?? 83 C4 ?? 8B 4D ?? 5F 8B C6 5E 33 CD 5B E8 ?? ?? ?? ?? 8B E5 5D C2 ?? ?? 
            FF 75 ?? FF D7 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 84 DB 74 ?? EB ?? BE ?? ?? ?? ?? EB
        }
		$service_creation_v11_1 = {
            68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 8D 44 24 ?? 50 8D 4C 24 ?? C7 44 24 ?? ?? ?? 
            ?? ?? E8 ?? ?? ?? ?? 8D 4C 24 ?? E8 ?? ?? ?? ?? 33 C0 8B 4C 24 ?? 33 CC E8 ?? ?? ?? 
            ?? 8B E5 5D C3 8D 44 24 ?? 50 C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 
            24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? FF 15 
        }

	condition:
		uint16( 0 ) == 0x5A4D and ( ( $data_exfiltration_v10_1 and $memory_scraping_v10_1 and $process_search_v10_1 and $service_creation_v10_1 ) or ( $process_search_v11_1 and $memory_scraping_v11_1 and $data_exfiltration_v11_1 and $service_creation_v11_1 ) )
}
rule REVERSINGLABS_Win32_Infostealer_Projecthookpos : TC_DETECTION MALICIOUS MALWARE FILE
{
	meta:
		description = "Yara rule that detects ProjectHookPOS infostealer."
		author = "ReversingLabs"
		id = "dcb96a99-c8c0-5878-a3a5-fe3cfeec43c6"
		date = "2020-07-15"
		modified = "2020-07-15"
		reference = "ReversingLabs"
		source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/infostealer/Win32.Infostealer.ProjectHookPOS.yara#L1-L98"
		license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE"
		logic_hash = "b7534c9e905256aaf80f04b746a92c50689437b288f7e393ef13fde1740c4a4e"
		score = 75
		quality = 90
		tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE"
		status = "RELEASED"
		sharing = "TLP:WHITE"
		category = "MALWARE"
		tc_detection_type = "Infostealer"
		tc_detection_name = "ProjectHookPOS"
		tc_detection_factor = 5
		importance = 25

	strings:
		$calc_luhn = {
            55 8B EC 83 C4 ?? 53 56 57 33 C9 89 4D ?? 89 55 ?? 8B 45 ?? E8 ?? ?? ?? ?? 33 C0 55 
            68 ?? ?? ?? ?? 64 FF 30 64 89 20 C6 45 ?? ?? 33 C0 89 45 ?? 8B 45 ?? 85 C0 74 ?? 8B 
            D0 83 EA ?? 66 83 3A ?? 74 ?? 8D 45 ?? 8B 55 ?? E8 ?? ?? ?? ?? 85 C0 74 ?? 83 E8 ?? 
            8B 00 25 ?? ?? ?? ?? 79 ?? 48 83 C8 ?? 40 85 C0 0F 94 C3 8B 45 ?? 85 C0 74 ?? 8B D0 
            83 EA ?? 66 83 3A ?? 74 ?? 8D 45 ?? 8B 55 ?? E8 ?? ?? ?? ?? 85 C0 74 ?? 83 E8 ?? 8B 
            00 8B F0 85 F6 7E ?? BF ?? ?? ?? ?? 8D 45 ?? 8B 55 ?? 0F B7 54 7A ?? E8 ?? ?? ?? ?? 
            8B 45 ?? 83 CA ?? E8 ?? ?? ?? ?? 0F B6 D0 66 83 FA ?? 75 ?? C6 45 ?? ?? EB ?? 84 DB 
            74 ?? 0F B6 C0 0F B6 80 ?? ?? ?? ?? 01 45 ?? EB ?? 0F B6 C0 01 45 ?? 80 F3 ?? 47 4E 
            75 ?? 8B 45 ?? B9 ?? ?? ?? ?? 99 F7 F9 85 D2 75 ?? 80 7D ?? ?? 74 ?? 33 DB EB ?? B3 
            ?? 33 C0 5A 59 59 64 89 10 68 ?? ?? ?? ?? 8D 45 ?? E8 ?? ?? ?? ?? 8D 45 ?? E8 ?? ?? 
            ?? ?? C3 E9 ?? ?? ?? ?? EB ?? 8B C3 5F 5E 5B 8B E5 5D C3 
        }
		$track_1_reverse = {
            55 8B EC 83 C4 ?? 53 56 33 DB 89 5D ?? 8B F1 89 55 ?? 8B 45 ?? E8 ?? ?? ?? ?? 33 C0 
            55 68 ?? ?? ?? ?? 64 FF 30 64 89 20 8B C6 33 D2 E8 ?? ?? ?? ?? 8B 45 ?? 85 C0 74 ?? 
            8B D0 83 EA ?? 66 83 3A ?? 74 ?? 8D 45 ?? 8B 55 ?? E8 ?? ?? ?? ?? 85 C0 74 ?? 83 E8 
            ?? 8B 00 8B D8 83 FB ?? 7C ?? 8D 45 ?? 50 B9 ?? ?? ?? ?? 8B D3 8B 45 ?? E8 ?? ?? ?? 
            ?? 8B 55 ?? 8B C6 E8 ?? ?? ?? ?? 4B 85 DB 75 ?? 33 C0 5A 59 59 64 89 10 68 ?? ?? ?? 
            ?? 8D 45 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? C3 E9 ?? ?? ?? ?? EB ?? 5E 5B 59 59 5D C3 
        }
		$check_validity_1 = {
            8B D0 83 EA ?? 66 83 3A ?? 74 ?? 8D 45 ?? 8B 55 ?? E8 ?? ?? ?? ?? 66 83 38 ?? 75 ?? 
            8B 45 ?? 85 C0 74 ?? 8B D0 83 EA ?? 66 83 3A ?? 74 ?? 8D 45 ?? 8B 55 ?? E8 ?? ?? ?? 
            ?? 66 83 78 ?? ?? 0F 94 C0 EB ?? 33 C0 84 C0 0F 84 ?? ?? ?? ?? 8B 45 ?? 85 C0 74 ?? 
            8B D0 83 EA ?? 66 83 3A ?? 74 ?? 8D 45 ?? 8B 55 ?? E8 ?? ?? ?? ?? 66 83 78 ?? ?? 0F 
            85 ?? ?? ?? ?? 8B 45 ?? 85 C0 74 ?? 8B D0 83 EA ?? 66 83 3A ?? 74 ?? 8D 45 ?? 8B 55 
            ?? E8 ?? ?? ?? ?? BE ?? ?? ?? ?? 66 81 78 ?? ?? ?? 73 ?? 0F B6 40 ?? 0F B6 C0 0F A3 
            06 72 ?? 33 C0 EB 
        }
		$encode_and_send_1 = {
            64 89 20 B2 ?? A1 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B D8 33 C9 B2 ?? A1 ?? ?? ?? ?? E8 ?? 
            ?? ?? ?? 8B F0 8D 4D ?? 8B 55 ?? 8B C7 E8 ?? ?? ?? ?? 8B 4D ?? 8D 45 ?? BA ?? ?? ?? 
            ?? E8 ?? ?? ?? ?? 8B 55 ?? 8B C3 8B 08 FF 51 ?? 8D 45 ?? 8B 4D ?? BA ?? ?? ?? ?? E8 
            ?? ?? ?? ?? 8B 55 ?? 8B C3 8B 08 FF 51 ?? 8D 45 ?? 8B 4D ?? BA ?? ?? ?? ?? E8 ?? ?? 
            ?? ?? 8B 55 ?? 8B C3 8B 08 FF 51 ?? 8D 45 ?? 8B 4D ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 
            8B 55 ?? 8B C3 8B 08 FF 51 ?? 8B C6 E8 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 
            C6 E8 ?? ?? ?? ?? 05 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 45 ?? 50 8B CB BA 
            ?? ?? ?? ?? 8B C6 E8 ?? ?? ?? ?? 8B C3 E8 ?? ?? ?? ?? 8B C6 E8
        }
		$form_create_1 = {
            8D 55 ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 45 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 45 
            ?? E8 ?? ?? ?? ?? 8B D0 8D 45 ?? E8 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 6A ?? 8D 55 
            ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 45 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 45 ?? E8 
            ?? ?? ?? ?? 50 8D 55 ?? A1 ?? ?? ?? ?? 8B 00 E8 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 
            50 E8 ?? ?? ?? ?? 8D 55 ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 45 ?? BA ?? ?? ?? ?? E8 
            ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B D0 8D 45 ?? E8 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? 
            ?? ?? 84 C0 0F 84
        }
		$form_create_2 = {
            33 C9 B2 ?? A1 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B D8 8B C3 E8 ?? ?? ?? ?? 05 ?? ?? ?? ?? 
            BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 4D ?? BA ?? ?? ?? ?? 8B C3 E8 ?? ?? ?? ?? 8D 55 ?? 
            B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 45 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 45 ?? E8 ?? 
            ?? ?? ?? 8B D0 8D 45 ?? E8 ?? ?? ?? ?? 8B 45 ?? 33 C9 BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 
            8B C3 E8
        }
		$form_create_3 = {
            B2 ?? A1 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B D8 BA ?? ?? ?? ?? 8B C3 E8 ?? ?? ?? ?? 33 C9 
            BA ?? ?? ?? ?? 8B C3 E8 ?? ?? ?? ?? 8D 55 ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 45 ?? 
            BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B D0 8D 45 ?? E8 ?? ?? ?? ?? 
            8B 4D ?? BA ?? ?? ?? ?? 8B C3 E8 ?? ?? ?? ?? 8B C3 E8 ?? ?? ?? ?? 33 C9 BA ?? ?? ?? 
            ?? 8B C3 E8 ?? ?? ?? ?? 33 C9 BA ?? ?? ?? ?? 8B C3 E8 ?? ?? ?? ?? 8B C3 E8 ?? ?? ?? 
            ?? 8B C3 E8 ?? ?? ?? ?? 8B 0D ?? ?? ?? ?? 8B 09 B2 ?? A1 ?? ?? ?? ?? E8 ?? ?? ?? ?? 
            A3 ?? ?? ?? ?? BA ?? ?? ?? ?? A1 ?? ?? ?? ?? E8 ?? ?? ?? ?? 56 68 ?? ?? ?? ?? A1 ?? 
            ?? ?? ?? E8 ?? ?? ?? ?? B2 ?? A1 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B C6 E8 ?? ?? ?? ?? 84 
            C0 74
        }

	condition:
		uint16( 0 ) == 0x5A4D and ( $calc_luhn and $track_1_reverse and $check_validity_1 and $encode_and_send_1 and $form_create_1 and $form_create_2 and $form_create_3 )
}
rule REVERSINGLABS_Win32_Infostealer_Lumarstealer : TC_DETECTION MALICIOUS MALWARE FILE
{
	meta:
		description = "Yara rule that detects LumarStealer infostealer."
		author = "ReversingLabs"
		id = "a1358846-7cc2-53ac-89a9-c6c99f492284"
		date = "2023-12-07"
		modified = "2023-12-07"
		reference = "ReversingLabs"
		source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/infostealer/Win32.Infostealer.LumarStealer.yara#L1-L190"
		license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE"
		logic_hash = "0bc9e12396b1e85f69b965e9ea50960c59c50aba40317fb4de8f6abd092ec7d2"
		score = 75
		quality = 90
		tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE"
		status = "RELEASED"
		sharing = "TLP:WHITE"
		category = "MALWARE"
		tc_detection_type = "Infostealer"
		tc_detection_name = "LumarStealer"
		tc_detection_factor = 5
		importance = 25

	strings:
		$collect_os_information_p1 = {
            55 8B EC 81 EC ?? ?? ?? ?? 53 56 B8 ?? ?? ?? ?? C1 E0 ?? 8B 88 ?? ?? ?? ?? FF D1 66
            A3 ?? ?? ?? ?? BA ?? ?? ?? ?? 66 89 55 ?? B8 ?? ?? ?? ?? 66 89 45 ?? B9 ?? ?? ?? ??
            66 89 4D ?? BA ?? ?? ?? ?? 66 89 55 ?? B8 ?? ?? ?? ?? 66 89 45 ?? B9 ?? ?? ?? ?? 66
            89 4D ?? BA ?? ?? ?? ?? 66 89 55 ?? B8 ?? ?? ?? ?? 66 89 45 ?? B9 ?? ?? ?? ?? 66 89
            4D ?? BA ?? ?? ?? ?? 66 89 55 ?? C6 45 ?? ?? EB ?? 8A 45 ?? 04 ?? 88 45 ?? 0F B6 4D
            ?? 83 F9 ?? 73 ?? 0F B6 55 ?? 0F B7 44 55 ?? 0F B7 0D ?? ?? ?? ?? 3B C1 75 ?? FF 25
            ?? ?? ?? ?? EB ?? C7 45 ?? ?? ?? ?? ?? 33 D2 89 55 ?? 89 55 ?? 89 55 ?? C7 45 ?? ??
            ?? ?? ?? 8D 75 ?? B8 ?? ?? ?? ?? 33 C9 0F A2 89 06 89 5E ?? 89 4E ?? 89 56 ?? B8 ??
            ?? ?? ?? 6B C8 ?? 8B 54 0D ?? 89 55 ?? C7 45 ?? ?? ?? ?? ?? EB ?? 8B 45 ?? 83 C0 ??
            89 45 ?? 8B 4D ?? 3B 4D ?? 77 ?? 8D 75 ?? 8B 45 ?? 33 C9 0F A2 89 06 89 5E ?? 89 4E
            ?? 89 56 ?? 81 7D ?? ?? ?? ?? ?? 75 ?? 6A ?? 8D 55 ?? 52 68 ?? ?? ?? ?? E8 ?? ?? ??
            ?? 83 C4 ?? EB ?? 81 7D ?? ?? ?? ?? ?? 75 ?? 6A ?? 8D 45 ?? 50 68 ?? ?? ?? ?? E8 ??
            ?? ?? ?? 83 C4 ?? EB ?? 81 7D ?? ?? ?? ?? ?? 75 ?? 6A ?? 8D 4D ?? 51 68 ?? ?? ?? ??
            E8 ?? ?? ?? ?? 83 C4 ?? EB ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? C6 80 ?? ?? ??
            ?? ?? 8D 95 ?? ?? ?? ?? 52 B8 ?? ?? ?? ?? C1 E0 ?? 8B 88 ?? ?? ?? ?? FF D1 85 C0 74
            ?? 6A ?? 8D 95 ?? ?? ?? ?? 52 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 8D 85 ?? ?? ??
            ?? 50 B9 ?? ?? ?? ?? D1 E1 8B 91 ?? ?? ?? ?? FF D2 8B 45 ?? A3 ?? ?? ?? ?? C7 85 ??
            ?? ?? ?? ?? ?? ?? ?? 6A ?? 8D 8D ?? ?? ?? ?? 51 6A ?? 6A ?? BA ?? ?? ?? ?? 6B C2
        }
		$collect_os_information_p2 = {
            8B 88 ?? ?? ?? ?? FF D1 85 C0 74 ?? 68 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 52 68 ?? ?? ??
            ?? E8 ?? ?? ?? ?? 83 C4 ?? 8D 45 ?? 50 B9 ?? ?? ?? ?? 6B D1 ?? 8B 82 ?? ?? ?? ?? FF
            D0 85 C0 74 ?? 6A ?? 68 ?